Apple Unified Log (tracev3)
| Format | Apple Unified Log (tracev3) |
|---|---|
| Kurzname | tracev3 |
| Kategorie | Log |
| Plattformen | macOS, iOS |
| Crush Unterstützung | Unterstützt (UnifiedLogConverter) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Binäres Logdateiformat des Unified Logging System von Apple. Einzelne .tracev3-Dateien liegen unter /private/var/db/diagnostics/ in den Unterverzeichnissen Persist/, Special/, Signpost/ und HighVolume/, dazu logdata.LiveData.tracev3 auf der obersten Ebene. Jede Datei ist eine Folge von Chunks (ein Header, Kataloge und LZ4-komprimierte Chunksets mit den Log-Einträgen samt Zeitstempeln) und verweist über uuidtext/-Kataloge und den Dyld Shared Cache (DSC) auf Format-Strings. Kann nicht isoliert geparst werden: Für die vollständige Auflösung der Strings und die Verankerung der Zeitstempel werden die zugehörigen Verzeichnisse uuidtext/, timesync/ und DSC benötigt. Den vollständigen forensischen Kontext und die Artefaktkategorien enthält der Eintrag Apple Unified Log Archive (logarchive).
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 00 10 00 00 11 00 00 00 | ........ | Header-Chunk: Tag 0x1000, Sub-Tag 0x11 (Little-Endian) |
Bekannte Dateiendungen
.tracev3
Referenzen
- Apple Unified Logging formats — tracev3 internals (libyal) https://github.com/libyal/dtformats/blob/main/documentation/Apple%20Unified%20Logging%20and%20Activity%20Tracing%20formats.asciidoc
- Mandiant macos-UnifiedLogs parser https://github.com/mandiant/macos-UnifiedLogs
- iOS Unified Logs research (Lionel Notari, ios-unifiedlogs.com) https://www.ios-unifiedlogs.com/
- Thesis Friday — Unified Log analysis series (Tim Korver) https://thesisfriday.com/
Diesen Eintrag zitieren
Crush-Format-Referenz, „Apple Unified Log (tracev3)“. https://kalink0.github.io/crush-forensics/formats/de/tracev3/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden