macos-unifiedlogs

macOSのUnified Logファイルの解析を支援するシンプルなRustライブラリです。

Unified LogはmacOSバージョン10.12（Sierra、2016年）で導入されました。Appleが 全Apple製品向けに統一されたログ形式を作成するという目標の一部です。Unified Logは macOS、iOS、watchOS、tvOSに存在します。Unified Logは、Appleが以前使用していた 多くの古いログ形式に取って代わります。このライブラリを使用して、これらのログファイルを 解析できます。
現在抽出されるデータは次のとおりです：

• プロセスID
• スレッドID
• アクティビティID
• 親アクティビティID
• ログメッセージ
• タイムスタンプ（IntelおよびARM対応）
• 実効ユーザーID（EUID）
• ログタイプ
• イベントタイプ
• ライブラリ
• サブシステム
• カテゴリ
• プロセス
• 生メッセージ - UUIDファイルから抽出されたメッセージ
• メッセージエントリ - tracev3ファイルからのメッセージ部分。生メッセージと 結合してログメッセージを取得します
• ライブラリUUID
• プロセスUUID
• ブートUUID
• タイムゾーン

実行方法

ダウンロード可能なサンプルバイナリが用意されています

• unifiedlog_iterator - logarchiveをJSOLまたはCSVファイルに解析できます。ライブシステム上の ログも解析できます。出力ファイルはかなり大きくなります

制限事項

数百万件のログエントリに対してテストされています。ただし、Unified Log形式の複雑さのため、 いくつかの制限があります：

1. printfスタイルのエラーコード検索には対応していません。このライブラリは、ログメッセージに 対するエラーコードの検索を行いません。macOSのネイティブlogコマンドは、printfスタイルの %mメッセージに遭遇したときにエラーコードの検索をサポートしています。
   例えば、ログメッセージ：'Failed to open file, error: %m'
   a. このライブラリの出力：

   root@kitploit:~

   Failed to open file, error: 1
   

   b. macOSのLogコマンドの出力：

   root@kitploit:~

   Failed to open file, error: no such file or directory
   

2. このライブラリは、ログメッセージ内のほとんどのカスタムオブジェクトをサポートしています。ただし、未対応のオブジェクトはbase64エンコードされます

参考文献

• https://github.com/ydkhatri/UnifiedLogReader
• https://github.com/libyal/dtformats/blob/main/documentation/Apple%20Unified%20Logging%20and%20Activity%20Tracing%20formats.asciidoc
• https://eclecticlight.co/2018/03/19/macos-unified-log-1-why-what-and-how
• https://www.crowdstrike.com/blog/how-to-leverage-apple-unified-log-for-incident-response