macos-unifiedlogs

macOS Unified Log 파일을 파싱하는 데 도움이 되는 간단한 Rust 라이브러리입니다.

Unified Logs는 macOS 10.12(Sierra, 2016)에서 도입되었습니다. 모든 Apple 제품을 위한 통합 로그 형식을 만들려는 Apple의 목표의 일부입니다. macOS, iOS, watchOS, tvOS에 존재합니다. Unified Logs는 Apple이 사용하던 많은 기존 로그 형식을 대체합니다. 이 라이브러리를 사용하여 이러한 로그 파일을 파싱할 수 있습니다.
현재 추출되는 데이터는 다음과 같습니다:

• 프로세스 ID
• 스레드 ID
• 활동 ID
• 부모 활동 ID
• 로그 메시지
• 타임스탬프(Intel 및 ARM 지원)
• 유효 사용자 ID(EUID)
• 로그 유형
• 이벤트 유형
• 라이브러리
• 하위 시스템
• 카테고리
• 프로세스
• 원시 메시지 - UUID 파일에서 추출된 메시지
• 메시지 항목 - tracev3 파일의 메시지 부분. 원시 메시지와 결합하여 로그 메시지를 얻습니다
• 라이브러리 UUID
• 프로세스 UUID
• 부팅 UUID
• 시간대

실행

다운로드할 수 있는 예제 바이너리가 있습니다.

• unifiedlog_iterator - logarchive를 JSOL 또는 CSV 파일로 파싱할 수 있습니다. 또한 실시간 시스템의 로그도 파싱할 수 있습니다. 출력 파일은 상당히 커질 수 있습니다.

제한 사항

수백만 개의 로그 항목으로 테스트되었습니다. 그러나 Unified Log 형식의 복잡성으로 인해 몇 가지 제한 사항이 있습니다:

1. printf 스타일 오류 코드 조회를 지원하지 않습니다. 이 라이브러리는 로그 메시지에 대한 오류 코드 조회를 수행하지 않습니다. macOS의 기본 log 명령은 printf 스타일 %m 메시지를 만나면 오류 코드 조회를 지원합니다.
   예를 들어 로그 메시지: 'Failed to open file, error: %m'
   a. 이 라이브러리의 출력:

   root@kitploit:~

   Failed to open file, error: 1
   

   b. macOS Log 명령의 출력:

   root@kitploit:~

   Failed to open file, error: no such file or directory
   

2. 이 라이브러리는 로그 메시지의 대부분의 사용자 지정 개체를 지원합니다. 그러나 지원되지 않는 개체는 base64로 인코딩됩니다.

참조

• https://github.com/ydkhatri/UnifiedLogReader
• https://github.com/libyal/dtformats/blob/main/documentation/Apple%20Unified%20Logging%20and%20Activity%20Tracing%20formats.asciidoc
• https://eclecticlight.co/2018/03/19/macos-unified-log-1-why-what-and-how
• https://www.crowdstrike.com/blog/how-to-leverage-apple-unified-log-for-incident-response