macos-unifiedlogs

Uma biblioteca Rust simples que pode ajudar a analisar os arquivos Unified Log do macOS.

Os Unified Logs foram introduzidos na versão 10.12 do macOS (Sierra, 2016). Parte do objetivo da Apple de criar um formato de log unificado para todos os produtos Apple. Eles existem no macOS, iOS, watchOS e tvOS. Os Unified Logs substituem muitos dos antigos formatos de log que a Apple usava. Esta biblioteca pode ser usada para analisar esses arquivos de log.
Os dados atualmente extraídos incluem:

• ID do Processo
• ID da Thread
• ID da Atividade
• ID da Atividade Pai
• Mensagem de Log
• Carimbo de data/hora (com suporte a Intel e ARM)
• ID de Usuário Efetivo (EUID)
• Tipo de Log
• Tipo de Evento
• Biblioteca
• Subsistema
• Categoria
• Processo
• Mensagem bruta - Mensagem extraída do arquivo UUID
• Entradas de mensagem - Partes da mensagem do arquivo tracev3. Combina com a mensagem bruta para obter a Mensagem de Log
• UUID da Biblioteca
• UUID do Processo
• UUID de Inicialização
• Fuso horário

Execução

Um binário de exemplo está disponível para download

• unifiedlog_iterator - Pode analisar um logarchive em um arquivo JSOL ou CSV. Também pode analisar os logs em um sistema ativo. O arquivo de saída será bastante grande

Limitações

Foi testado contra milhões de entradas de log. No entanto, devido à complexidade do formato Unified Log, existem algumas limitações:

1. Sem suporte à consulta de códigos de erro no estilo printf. Esta biblioteca não faz nenhuma consulta de códigos de erro para mensagens de log. O comando log nativo do macOS oferece suporte a consultas de códigos de erro quando encontra mensagens %m no estilo printf.
   Por exemplo, a mensagem de log: 'Failed to open file, error: %m'
   a. Esta biblioteca gera:

   root@kitploit:~

   Failed to open file, error: 1
   

   b. O comando Log do macOS gera:

   root@kitploit:~

   Failed to open file, error: no such file or directory
   

2. Esta biblioteca suporta a maioria dos objetos personalizados em mensagens de log. No entanto, objetos não suportados serão codificados em base64

Referências

• https://github.com/ydkhatri/UnifiedLogReader
• https://github.com/libyal/dtformats/blob/main/documentation/Apple%20Unified%20Logging%20and%20Activity%20Tracing%20formats.asciidoc
• https://eclecticlight.co/2018/03/19/macos-unified-log-1-why-what-and-how
• https://www.crowdstrike.com/blog/how-to-leverage-apple-unified-log-for-incident-response