Series
Fundamentos de knowledgeC y Biome
4 posts in this series. Read them in order or jump to any one.
- Análisis forense de knowledgeC.db: guía completa de macOS
Qué registra knowledgeC.db en macOS, dónde está, cómo funcionan ZOBJECT y sus flujos, cómo convertir sus marcas de tiempo y qué no demuestran los datos.
- knowledgeC vs Biome: dónde guarda macOS el uso de apps
¿knowledgeC.db o Biome? En qué se diferencian los dos almacenes de actividad de macOS, qué flujo de Biome equivale a cada flujo de knowledgeC y qué esperar hoy.
- knowledgeC.db: ubicación y adquisición de flujos Biome
Dónde están knowledgeC.db y los flujos de Biome en macOS y cómo recolectarlos con Terminal, UAC, Velociraptor o una imagen de disco sin perder el WAL.
- Formato de archivo SEGB de Biome: referencia v1 y v2
Referencia byte a byte de SEGB v1 y v2 de Biome: cabeceras, trailer, estados de registro, CRC32, alineación, horas en el nombre y campos protobuf por flujo.