Series
Les fondamentaux de knowledgeC et Biome
4 posts in this series. Read them in order or jump to any one.
- Analyse forensique de knowledgeC.db : le guide macOS
Ce que knowledgeC.db enregistre sous macOS, où il se trouve, comment lire ZOBJECT et ses flux, convertir ses horodatages et ce que ces données ne prouvent pas.
- knowledgeC ou Biome : où macOS enregistre l'usage des apps
knowledgeC.db ou Biome ? Les différences entre ces deux sources d'activité macOS, la correspondance de leurs flux et ce qu'on trouve sur les versions récentes.
- knowledgeC.db : emplacement et collecte des flux Biome
Où se trouvent knowledgeC.db et les flux Biome sous macOS, et comment les collecter avec Terminal, UAC, Velociraptor ou une image disque sans perdre le WAL.
- Format de fichier SEGB de Biome : référence v1 et v2
Référence octet par octet de SEGB v1 et v2 : en-têtes, trailers, états des enregistrements, CRC32, alignement, noms de fichiers et champs protobuf par flux.