01Konum
- /.fseventsd/
- /System/Volumes/Data/.fseventsd/
- /Volumes/<volume>/.fseventsd/
02Yanıtladığı sorular
- Bir dosya veya klasör yolu, silindikten sonra bile birimde var mıydı?
- Bir yol oluşturuldu mu, yeniden adlandırıldı mı, değiştirildi mi yoksa silindi mi?
- Değişiklikler birbirine göre hangi sırayla gerçekleşti?
- Birimler bağlandı mı veya ayrıldı mı?
03Biçim ve sürümler
| Biçim | Her birimin kökünde gzip ile sıkıştırılmış dosya dizisi. Her dosya, disk günlüğü akışlarından oluşan çok üyeli bir GZIP akışıdır: 1SLD veya 2SLD imzalı 12 baytlık başlık, ardından yol (NUL ile biten), 8 baytlık olay kimliği, 4 baytlık bayraklar ve sürüm 2'de 8 baytlık düğüm kimliği. |
|---|---|
| Geçerli olduğu sürümler | Biçim sürümü 1 Mac OS X 10.5–macOS 10.12, sürüm 2 ise 10.13'ten itibaren (libyal belgeleri). Apple disk biçiminin her an değişebileceğini belirtir; sonraki sürümleri doğrulayın. |
04Temel alanlar
| Alan | Ne anlatır |
|---|---|
| Path | fseventsd'nin kaydettiği değişen öğenin tam yolu. |
| Event identifier (8 bytes) | Artan kimlik; Apple olay kimliklerinin kalıcı olduğunu ve ana makine veya disk bazında arttığını belirtir. |
| Event flags (4 bytes) | 0x01 Oluşturuldu, 0x02 Silindi, 0x04 InodeMetadataModified, 0x08 Yeniden adlandırıldı, 0x10 Değiştirildi, 0x80 Klasör oluşturuldu, 0x200 Genişletilmiş öznitelik değişti, 0x800000 Dosya, 0x1000000 Klasör, 0x2000000 Bağlama, 0x4000000 Ayırma. |
| Node identifier (version 2) | Sürüm 2 kaydında eklenen 8 baytlık düğüm kimliği. |
05Zaman damgaları
| Alan | Kodlama | Not |
|---|---|---|
| (none in records) | — | Kayıtlarda zaman bulunmaz. Sıra olay kimliklerinden gelir; tarihlendirme diğer artefaktlarla veya günlük dosyalarının kendi zamanlarıyla ilişkilendirme gerektirir. |
Ham değerleri Zaman damgası çözücü, yerel saatleri ise Yerel saatten UTC'ye ile çözün.
06İnceleme akışı
- APFS sistemlerde Data birimi dahil olmak üzere her birimin .fseventsd klasörünün tamamını kopyalayın.
- Her dosyayı açın, 1SLD/2SLD imzasını kontrol edin ve kayıtları bu sürümü destekleyen bir ayrıştırıcıyla çözün.
- Bayrakları bit bit çözün; tek bir kayıt birden fazla bayrağı birleştirebilir.
- Olay kimliği aralıklarını zaman damgası taşıyan artefaktlarla zamana bağlayın ve kesin zaman yerine bu sınırları raporlayın.
07Yorum tuzakları
- Apple biçim değişebileceği için dosyaların doğrudan kullanılmaması gerektiğini söyler; ayrıştırıcı çıktısı her macOS sürümünde doğrulanmalıdır.
- Günlükleme, boş bir .fseventsd/no_log dosyasıyla birim bazında kapatılabilir.
- Hizmet bildirimleri birleştirir; eski bir işletim sistemiyle değiştirilen birimin geçmişi atılabilir.
- Klasör adları silindikten sonra da kalabilir (Apple); bir yol önceki varlığı gösterir, şu anki varlığı göstermez.
09Kaynaklar
- libyal dtformats — MacOS File System Events Disk Log Stream format Joachim Metz (GitHub) · erişim 2026-10-14
- File System Events Programming Guide — File System Event Security Apple Developer Documentation Archive · erişim 2026-10-14
- File System Events Programming Guide — Using the File System Events API Apple Developer Documentation Archive · erişim 2026-10-14
- File System Events Programming Guide — Technology Overview Apple Developer Documentation Archive · erişim 2026-10-14
- ForensicArtifacts — artifacts/data/macos.yaml ForensicArtifacts project (GitHub) · erişim 2026-10-14