Apple File System Events (FSEvents)
| Format | Apple File System Events (FSEvents) |
|---|---|
| Kurzname | FSEvents |
| Kategorie | Log |
| Plattformen | macOS, iOS |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-05 |
Forensische Relevanz
Persistente Logs von Dateisystemereignissen, gespeichert in /.fseventsd auf macOS-Volumes und auch in forensischen Extraktionen von iOS und anderen Apple-Geräten zu finden. Jede Logdatei ist ein gzip-Stream aus mehreren Membern; die dekomprimierten Daten bestehen aus Pages, die mit der Signatur '1SLD' (Mac OS X 10.5 bis macOS 10.12), '2SLD' (ab macOS 10.13) oder '3SLD' (ab macOS 14) beginnen. Die Datensätze enthalten eine Event-ID, einen Pfad und Event-Flags wie erstellt, geändert, umbenannt, entfernt, Metadaten- oder Berechtigungsänderungen; Datensätze der Version 2 ergänzen eine Node-ID des Dateisystems, Datensätze der Version 3 zusätzlich eine User-ID. FSEvents sind in erster Linie Indikatoren für Verzeichnis- und Dateiaktivität, kein vollständiger Audit Trail: Ereignisse können zusammengefasst sein, und ein Ereignis beweist nicht zwingend, dass eine Datei geöffnet oder gelesen wurde. Die Ereignisdatensätze auf dem Datenträger haben keinen herkömmlichen Zeitstempel pro Datensatz; forensische Zeitlinien erfordern daher eine Korrelation mit den Dateisystem-Zeitstempeln der Logdateien und anderen Beweismitteln. Die Namen der Logdateien sind hexadezimale Event-IDs, die eine Reihenfolge angeben, aber keine Zeit. FSEvents können Belege für Pfade und Dateisystemaktivität bewahren, nachdem die zugehörigen Dateien oder Verzeichnisse gelöscht wurden oder anderweitig nicht mehr vorhanden sind.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset unbekannt | 31 53 4C 44 | 1SLD | Page-Signatur '1SLD' an Offset 0 des dekomprimierten (gzip-)Streams |
| Offset unbekannt | 32 53 4C 44 | 2SLD | Page-Signatur '2SLD' an Offset 0 des dekomprimierten (gzip-)Streams |
| Offset unbekannt | 33 53 4C 44 | 3SLD | Page-Signatur '3SLD' an Offset 0 des dekomprimierten (gzip-)Streams |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- MacOS File System Events Disk Log Stream format (libyal/dtformats) https://github.com/libyal/dtformats/blob/main/documentation/MacOS%20File%20System%20Events%20Disk%20Log%20Stream%20format.asciidoc
- FSEventsParser (G-C Partners) https://github.com/dlcowen/FSEventsParser
Diesen Eintrag zitieren
Crush-Format-Referenz, „Apple File System Events (FSEvents)“. https://kalink0.github.io/crush-forensics/formats/de/fsevents/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden