Glossaire
Biome
Biome est le framework d'événements récent d'Apple : il range les flux d'activité macOS, comme App.InFocus, dans des fichiers SEGB, en relais de knowledgeC.
Biome est le framework plus récent qu'Apple utilise pour enregistrer le contexte et les habitudes d'usage. Il a repris de nombreux flux autrefois stockés dans knowledgeC.db, dont le premier plan des applications. Au lieu d'une base SQLite unique, chaque flux est un dossier de fichiers binaires SEGB dont les enregistrements portent le plus souvent une charge utile protobuf.
Les flux utilisateur se trouvent sous ~/Library/Biome/streams/restricted/<Stream>/local/ et ~/Library/Biome/streams/public/<Stream>/local/. Les enregistrements synchronisés depuis d'autres appareils du même compte Apple arrivent dans <Stream>/remote/<device UUID>/, et les fichiers expirés passent dans local/tombstone/. Les flux système sont dans /private/var/db/biome/streams/, propriété de _biome.
Cette organisation compte pour l'enquêteur : les enregistrements remote ne doivent pas être attribués au Mac examiné, et les fichiers tombstone sont souvent ignorés par les parseurs. Pour le lien avec l'ancienne base, lisez knowledgeC ou Biome.