Skip to content
KitploitKITPLOIT
ツールブログ
提出
ツールブログ
提出

ハッキング、侵入テスト、サイバーセキュリティツールをあなたのセキュリティアーセナルに！

Kitploitはハッキング、サイバーセキュリティ、ペネトレーションテストのツールディレクトリです。最新のプロジェクトアップデートを見つけて、脆弱性の発見、システム分析、テストの自動化、セキュリティの強化を行いましょう。

··フィード·お問い合わせ·プライバシー·© 2026 Kitploit

ツールディレクトリ

カテゴリ

すべてのカテゴリを見る
Loading categories
macos-collector — macos-collector - DFIR向けmacOSフォレンジックアーティファクトの自動収集 | Kitploit
ツール/GitHubGitHub/lethal-forensics/macos-collector
永続化メカニズムフォレンジックデジタルフォレンジックインシデントレスポンスログ分析
GitHublethal-forensics/macos-collector

macos-collector

macos-collector - DFIR向けmacOSフォレンジックアーティファクトの自動収集

リポジトリを見る
4951ヶ月前Kitploit レビュー済み

人気

すべて見る →

コミュニティで最も使われているツールを見つけましょう。

すべてのツールを探索

ツールコレクションを閲覧

すべてのツールを見る →
共有

macos-collector

macos-collector - DFIR のための macOS フォレンジックアーティファクトの自動収集

macos-collector.sh は、侵害された macOS エンドポイントから macOS フォレンジックアーティファクトを収集するために使用される Shell スクリプトです。主に Jamf Threat Labs 製の Aftermath を使用します。

ダウンロード

最新バージョンの macos-collector は Releases セクションからダウンロードしてください。

[!NOTE] macos-collector にはデフォルトで外部ツールがすべて含まれています。

[!NOTE] デフォルトのアーカイブパスワード: IncidentResponse、隔離ファイルパスワード: infected

[!TIP] macos-collector は出力を現在の作業ディレクトリに直接書き込みます。ターゲットエンドポイントの実際のディスクへの書き込みを減らすため、リモートの場所または外部デバイス（USB フラッシュドライブなど）からツールを実行することをお勧めします。

[!IMPORTANT] Aftermath を実行するには、root 権限に加えてフルディスクアクセス（FDA）が必要です。FDA は、実行中のターミナルアプリに付与できます。

ターミナルアプリに一時的にフルディスクアクセスを付与するには、システム設定 → プライバシーとセキュリティ → フルディスクアクセス に移動し、+ ボタンをクリックして、Touch ID でロックを解除するかパスワードを入力し、ターミナルアプリを選択します。変更を有効にするには、ターミナルアプリを終了して再度開く必要があります。アクセスを取り消すには、同じメニューに戻ってターミナルアプリのチェックを外すだけです。

使用方法

root@kitploit:~
sudo bash macos-collector.sh [OPTION]

例1 - Aftermath を使用して、侵害された macOS エンドポイントからフォレンジックアーティファクトを収集します

root@kitploit:~
sudo bash macos-collector.sh --collect

例2 - 以前に収集した Aftermath アーカイブファイルを解析します

root@kitploit:~
sudo bash macos-collector.sh --analyze

例3 - 侵害された macOS エンドポイントから FSEvents データを収集します

root@kitploit:~
sudo bash macos-collector.sh --fsevents

例4 - サポートされているすべての macOS フォレンジックアーティファクトを収集します

root@kitploit:~
sudo bash macos-collector.sh --triage

Help-Message
図 1: ヘルプメッセージ

Aftermath-Collection
図 2: Aftermath の収集（ディープスキャン付き）

Aftermath-Analysis
図 3: Aftermath アーカイブの解析 → クリーンな macOS エンドポイントに切り替える

BTM
図 4: BTM ダンプファイルの収集（バックグラウンドタスク管理）

DS_Store
図 5: DS_Store ファイルの収集

FSEvents
図 6: FSEvents データの収集

KnockKnock
図 7: KnockKnock によるライブシステムスキャン（永続化）

UnifiedLogs
図 8: Apple 統合ログ（AUL）の収集

Sysdiagnose
図 9: Sysdiagnose ログの収集

Spotlight
図 10: Spotlight データベースファイルの収集（ライブ検索を含む）

SystemInfo-1
図 11: システム情報の収集 → XProtect は最新です

SystemInfo-2
図 12: システム情報の収集 → XProtect のアップデートが利用可能です

Recent-Items
図 13: 最近使った項目の収集

TrueTree
図 14: TrueTree スナップショットの収集

Notifications
図 15: 通知センターのデータベースファイルの収集

Biome
図 16: Biome データの収集（App.MenuItem）

依存関係

7-Zip v26.00 コンソール版 (2026-02-12)
MD5: DCACF43BE9AC2034815CFEA7E8C89803
SHA1: FC8C7FF0F197E7034C3005DF0F653DBFDCCC83EF
SHA256: A00F6D085A82A95F6DFC69EA150E05234A12B6D5D134325DDDB964CAE6817488
https://www.7-zip.org/download.html

Aftermath v2.3.0 (2025-09-24)
MD5: A0668EB91650513F40CE8753A277E0E0
SHA1: 782077A3FE5351C72157142C437EA5D20BEF00E9
SHA256: A58489ACC3E3BB7D5BC70B66DFF5897CBF93BFE38E66C119C4FF1013559D912A
https://github.com/jamf/aftermath

KnockKnock v4.0.3 (2025-12-18)
MD5: 91582848022442C8A6D71ED28A10A11B
SHA1: FDAEB856E44563E7C543F775A238D590A3A4B2EC
SHA256: A7836AF427187D02511170606232E4509C3A41351F5BBC3BAFAFE2F0227CC2DE
https://objective-see.com/products/knockknock.html

TrueTree v0.8 (2024-08-23)
MD5: 7D4ACAA589846B9D31FBC911D1E4898F SHA1: BF701DABCFBD816425FB827B75B011773D9283AD SHA256: C6CE708937EFAC833DA6A0B6F4FC1A91EB38F8D456317BCF68B27CF57CB581C6 https://github.com/themittenmac/TrueTree

ライセンス

このプロジェクトは MIT ライセンスの下でライセンスされています。詳細は LICENSE ファイルを参照してください。

リンク

Aftermath（Jamf Threat Labs 製）
Aftermath - SOAR プレイブック
TrueTree（Jaron Bradley 著）
The Mitten Mac - macOs のインシデントレスポンスと脅威ハンティングの知識
What Happened?: Aftermath で macOS セキュリティインシデントを迅速に調査する | JNUC 2023
KnockKnock - Objective-See 製の永続化列挙ツール

ツールをダウンロード