Glossar
Biome
Biome ist Apples neueres Ereignis-Framework: Es speichert macOS-Aktivitäts-Streams wie App.InFocus in SEGB-Dateien und löst viele knowledgeC-Streams ab.
Biome ist Apples neueres Framework zur Erfassung von Kontext und Nutzungsmustern. Es hat viele Streams übernommen, die früher in knowledgeC.db lagen, darunter den Fokus von Anwendungen. Statt einer einzigen SQLite-Datenbank ist jeder Stream ein Ordner mit binären SEGB-Dateien, deren Einträge meist eine Protobuf-Nutzlast enthalten.
Benutzer-Streams liegen unter ~/Library/Biome/streams/restricted/<Stream>/local/ und ~/Library/Biome/streams/public/<Stream>/local/. Einträge, die von anderen Geräten desselben Apple Accounts synchronisiert wurden, landen in <Stream>/remote/<device UUID>/, abgelaufene Dateien wandern nach local/tombstone/. System-Streams liegen in /private/var/db/biome/streams/ und gehören _biome.
Für die Ermittlung ist diese Aufteilung wichtig: remote-Einträge dürfen nicht dem untersuchten Mac zugeschrieben werden, und Tombstone-Dateien werden von Parsern oft übergangen. Zum Verhältnis zur älteren Datenbank siehe knowledgeC oder Biome.