Glosario
Biome
Biome es el framework de eventos más reciente de Apple: guarda flujos de actividad de macOS como App.InFocus en archivos SEGB y releva a knowledgeC.db.
Biome es el framework más reciente de Apple para registrar contexto y patrones de uso. Ha asumido muchos flujos que antes vivían en knowledgeC.db, entre ellos el primer plano de las aplicaciones. En lugar de una única base SQLite, cada flujo es una carpeta de archivos binarios SEGB cuyos registros suelen llevar una carga útil protobuf.
Los flujos de usuario están en ~/Library/Biome/streams/restricted/<Stream>/local/ y ~/Library/Biome/streams/public/<Stream>/local/. Los registros sincronizados desde otros dispositivos de la misma cuenta de Apple llegan a <Stream>/remote/<device UUID>/, y los archivos caducados pasan a local/tombstone/. Los flujos del sistema están en /private/var/db/biome/streams/, propiedad de _biome.
Esta estructura importa al investigador: los registros remote no deben atribuirse al Mac examinado, y los archivos tombstone suelen pasar desapercibidos para los parsers. Para su relación con la base anterior, lea knowledgeC frente a Biome.