Useimpien Mac-järjestelmien juurihakemistossa on piilotettu hakemisto nimeltä .fseventsd. Tässä on lokitiedosto tiedostojärjestelmän tapahtumista. Lokitiedostoa käytetään yleisesti digitaalisessa rikosteknologian tutkimuksessa, koska siinä on luettelo tiedostoista, joihin on koskettu tiettyinä aikoina.
Haluaisin tietää, miksi Mac kirjoittaa nämä tiedot levylle ja kuinka usein loki puhdistetaan.
- Miksi tämä loki luodaan?
Ei todellakaan ole mitään järkeä. Ohjelmat voivat rekisteröityä saadakseen tapahtumia liittyy tiedostojärjestelmän muutoksiin. Miksi sitten kirjoittaa ne tiedostojärjestelmän pysyvään lokiin?
- Kuinka usein se puhdistetaan?
Yksi Mac-tietokoneistani on ollut käynnissä joulukuusta 2018 lähtien. Kuukausi sitten tapahtumia jatkettiin aina ostopäivään asti; nyt sillä on tapahtumia, jotka ovat palanneet 2. maaliskuuta klo 14.47 (kirjoitan tämän 16. maaliskuuta.)
Olen katsellut verkkoa ja voin löytää tietoa tiedostomuodon purkamisesta, mutta olen todellakaan ”löydä mitään siitä, miksi se on.
Katso fsevents-taustatiedot:
- http://nicoleibrahim.com/apple-fsevents-forensics/ , artikkeli ja tutkimus, kirjoittanut Nicole Ibrahim
- https://github.com/dlcowen/FSEventsParser , ilmainen jäsennin
- https://www.crowdstrike.com/blog/using-os-x-fsevents-discover-deleted-malicious-artifact/ , joukko-lakko käytä sitä digitaalisessa rikosteknologiassa.
Kommentit
- @ user3439894, päivitin kysymyksen viitteisiin.