Artículos etiquetados: #dfir

Paso a paso: abra un .logarchive de macOS, una carpeta diagnostics o una exportación de log show en Unified Log Parser, revise hallazgos y exporte.

Recopile los registros unificados de macOS con log collect, una copia de diagnostics y uuidtext, UAC, Velociraptor o mac_apt, sin lagunas.

Qué registran los registros unificados de macOS, dónde están tracev3, uuidtext y timesync, qué pueden demostrar y cómo leerlos en una investigación.

Dentro de los archivos tracev3 de macOS: encabezado, catálogo, chunksets LZ4, firehose, oversize, statedump, simpledump, uuidtext, dsc y timesync.