Skip to content
FSEvents Parser

Series

Les fondamentaux de FSEvents

4 posts in this series. Read them in order or jump to any one.

  1. Analyse forensique FSEvents : ce que prouve .fseventsd

    Ce qu'enregistre le journal FSEvents de macOS, où se trouve .fseventsd, ce qu'il prouve ou non, et comment le lire sans horodatage exact.

  2. Collecter .fseventsd : tar, UAC, Aftermath, Velociraptor

    Collecter les journaux FSEvents de macOS sans perdre leurs dates de modification : une commande tar, UAC, Aftermath, Velociraptor et images disque.

  3. Format de fichier FSEvents : pages 1SLD, 2SLD et 3SLD

    La structure sur disque des journaux .fseventsd de macOS : fichiers gzip, en-têtes de page DLS, champs par version et données tronquées ou corrompues.

  4. Les flags FSEvents expliqués : chaque bit décodé

    Chaque bit de flag FSEvents sur disque, sa valeur, ses noms selon FSEventsParser et mac_apt, et comment lire Created, Renamed, ItemCloned ou EndOfTransaction.

All posts in this series