macos-unifiedlogs

Eine einfache Rust-Bibliothek, die beim Parsen der macOS-Unified-Log-Dateien helfen kann.

Unified Logs wurden in macOS Version 10.12 (Sierra, 2016) eingeführt. Teil von Apples Ziel, ein einheitliches Logformat für alle Apple-Produkte zu schaffen. Sie existieren auf macOS, iOS, watchOS, tvOS. Die Unified Logs ersetzen viele der alten Logformate, die Apple verwendete. Diese Bibliothek kann verwendet werden, um diese Logdateien zu parsen.
Derzeit extrahierte Daten umfassen:

• Prozess-ID
• Thread-ID
• Aktivitäts-ID
• Übergeordnete Aktivitäts-ID
• Logmeldung
• Zeitstempel (Intel und ARM unterstützt)
• Effektive Benutzer-ID (EUID)
• Logtyp
• Ereignistyp
• Bibliothek
• Subsystem
• Kategorie
• Prozess
• Rohmeldung – Meldung aus der UUID-Datei extrahiert
• Meldungseinträge – Meldungsteile aus der tracev3-Datei. Kombiniert mit der Rohmeldung, um die Logmeldung zu erhalten
• Bibliotheks-UUID
• Prozess-UUID
• Boot-UUID
• Zeitzone

Ausführung

Ein Beispiel-Binary ist zum Download verfügbar

• unifiedlog_iterator – Kann ein Logarchiv in eine JSOL- oder CSV-Datei parsen. Es kann auch die Logs auf einem Live-System parsen. Die Ausgabedatei wird ziemlich groß sein

Einschränkungen

Es wurde mit Millionen von Logeinträgen getestet. Aufgrund der Komplexität des Unified-Log-Formats gibt es jedoch einige Einschränkungen: