Artículos con la etiqueta: #dfir

Dónde están knowledgeC.db y los flujos de Biome en macOS y cómo recolectarlos con Terminal, UAC, Velociraptor o una imagen de disco sin perder el WAL.

Qué registra knowledgeC.db en macOS, dónde está, cómo funcionan ZOBJECT y sus flujos, cómo convertir sus marcas de tiempo y qué no demuestran los datos.

¿knowledgeC.db o Biome? En qué se diferencian los dos almacenes de actividad de macOS, qué flujo de Biome equivale a cada flujo de knowledgeC y qué esperar hoy.

Por qué los últimos eventos de knowledgeC suelen estar solo en el WAL, cómo funcionan frames, salts y checkpoints, y cómo leer las filas añadidas o eliminadas.