macos-unifiedlogs

Una biblioteca simple de Rust que puede ayudar a analizar los archivos Unified Log de macOS.

Los Unified Logs se introdujeron en la versión 10.12 de macOS (Sierra, 2016). Parte del objetivo de Apple de crear un formato de registro unificado para todos los productos Apple. Existen en macOS, iOS, watchOS y tvOS. Los Unified Logs reemplazan a muchos de los antiguos formatos de registro que Apple usaba. Esta biblioteca se puede utilizar para analizar estos archivos de registro.
Los datos que se extraen actualmente incluyen:

• ID de proceso
• ID de hilo
• ID de actividad
• ID de actividad principal
• Mensaje de registro
• Marca de tiempo (Intel y ARM compatibles)
• ID de usuario efectivo (EUID)
• Tipo de registro
• Tipo de evento
• Biblioteca
• Subsistema
• Categoría
• Proceso
• Mensaje sin procesar - Mensaje extraído del archivo UUID
• Entradas de mensaje - Partes del mensaje del archivo tracev3. Se combina con el mensaje sin procesar para obtener el mensaje de registro
• UUID de biblioteca
• UUID de proceso
• UUID de arranque
• Zona horaria

Ejecución

Un binario de ejemplo está disponible para descargar

• unifiedlog_iterator - Puede analizar un logarchive en un archivo JSOL o CSV. También puede analizar los registros en un sistema en vivo. El archivo de salida será bastante grande

Limitaciones

Se ha probado contra millones de entradas de registro. Sin embargo, debido a la complejidad del formato Unified Log, existen algunas limitaciones:

1. No hay soporte para la búsqueda de códigos de error de estilo printf. Esta biblioteca no realiza búsquedas de códigos de error para los mensajes de registro. El comando nativo log en macOS admite búsquedas de códigos de error cuando encuentra mensajes %m de estilo printf.
   Por ejemplo, el mensaje de registro: 'Failed to open file, error: %m'
   a. Esta biblioteca genera:

   root@kitploit:~

   Failed to open file, error: 1
   

   b. El comando Log de macOS genera:

   root@kitploit:~

   Failed to open file, error: no such file or directory
   

2. Esta biblioteca admite la mayoría de los objetos personalizados en los mensajes de registro. Sin embargo, los objetos no admitidos se codificarán en base64

Referencias

• https://github.com/ydkhatri/UnifiedLogReader
• https://github.com/libyal/dtformats/blob/main/documentation/Apple%20Unified%20Logging%20and%20Activity%20Tracing%20formats.asciidoc
• https://eclecticlight.co/2018/03/19/macos-unified-log-1-why-what-and-how
• https://www.crowdstrike.com/blog/how-to-leverage-apple-unified-log-for-incident-response