Beiträge mit dem Tag: #dfir

Wo knowledgeC.db und Biome-Streams unter macOS liegen und wie Sie sie mit Terminal, UAC, Velociraptor oder aus einem Abbild sichern, ohne das WAL zu verlieren.

Was knowledgeC.db unter macOS aufzeichnet, wo sie liegt, wie ZOBJECT und Streams aufgebaut sind, wie Sie Zeitstempel umrechnen und was die Daten nicht beweisen.

knowledgeC.db oder Biome? Wie sich die Aktivitätsspeicher von macOS unterscheiden, welche Streams sich entsprechen und was aktuelle Versionen erwarten lassen.

Warum neue knowledgeC-Ereignisse oft nur in knowledgeC.db-wal stehen, wie Frames, Salts und Checkpoints arbeiten und wie Sie neue und entfernte Zeilen lesen.