Apple Unified Log Archive (logarchive)
| Format | Apple Unified Log Archive (logarchive) |
|---|---|
| Kurzname | logarchive |
| Kategorie | Log |
| Plattformen | macOS, iOS |
| Crush Unterstützung | Unterstützt (UnifiedLogConverter) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Gepacktes Apple-Unified-Log-Bundle mit binären tracev3-Logdateien, uuidtext-String-Katalogen, timesync-Datensätzen zur Boot-Verankerung und einem DSC-Verzeichnis. Erzeugt mit 'log collect' unter macOS/iOS oder zusammengestellt aus einer Full-File-System-Sicherung von iOS (/private/var/db/diagnostics/ + /private/var/db/uuidtext/ nebeneinander). Liefert eine vollständige, an Zeitstempeln verankerte Log-Zeitlinie mit aufgelösten Prozessnamen, Subsystemen und Kategorien. Wie weit sie zurückreicht, hängt vom Log-Aufkommen ab, da der Speicher nach Größe und nicht nach einem festen Zeitraum begrenzt ist. Wichtige forensische Artefakte: App-Starts und -Beendigungen, Sperren/Entsperren und Bildschirmereignisse, Netzwerkverbindungen, Siri-Aktivierungen, biometrische Authentifizierungsversuche, Verbindungen von USB- bzw. externen Medien, userActionEvent-Einträge (explizite Nutzerinteraktionen), lossEvent-Einträge (Lücken durch Überlauf des Log-Puffers) und Vorboten von Abstürzen. Als privat geloggte Werte werden beim Schreiben unkenntlich gemacht (maskiert oder gehasht), sofern das Logging privater Daten nicht aktiviert war. Eine binäre Sicherung stellt sie nicht wieder her. Für die vollständige Auflösung der Strings werden uuidtext/, timesync/ und DSC benötigt. Fehlen sie, erscheinen im Nachrichtentext nur rohe Fragmente der Format-Strings.
Signaturen
Nicht erfasst
Bekannte Dateiendungen
.logarchive
Referenzen
- Apple OSLog documentation https://developer.apple.com/documentation/oslog
- Mandiant macos-UnifiedLogs parser https://github.com/mandiant/macos-UnifiedLogs
- iOS Unified Logs research (ios-unifiedlogs.com, Lionel Notari) https://www.ios-unifiedlogs.com/
- Thesis Friday — Unified Log analysis series (Tim Korver) https://thesisfriday.com/
- Reviewing macOS Unified Logs (Mandiant, Alexander Holcomb, 2022) https://cloud.google.com/blog/topics/threat-intelligence/reviewing-macos-unified-logs/
- Logs Unite! — forensic analysis of Apple Unified Logs (Sarah Edwards) https://github.com/mac4n6/Presentations/blob/master/Logs%20Unite!%20-%20Forensic%20Analysis%20of%20Apple%20Unified%20Logs/LogsUnite.pdf
- Apple Unified Logging and Activity Tracing formats (libyal, Joachim Metz) https://github.com/libyal/dtformats/blob/main/documentation/Apple%20Unified%20Logging%20and%20Activity%20Tracing%20formats.asciidoc
Diesen Eintrag zitieren
Crush-Format-Referenz, „Apple Unified Log Archive (logarchive)“. https://kalink0.github.io/crush-forensics/formats/de/logarchive/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden