Saltar al contenido
macforensics

Referencia práctica de DFIR en macOS

Lee un Mac como una línea de tiempo.

Dónde guarda macOS sus evidencias, cómo recopilarlas sin alterarlas y cómo convertir Unified Logs, FSEvents, KnowledgeC, TCC y launchd en un relato único y defendible.

Explorar el mapaVer todas las guías
áreas de evidencia
6
guías detalladas
12
términos del glosario
12
Ejemplo ilustrativo: un evento por fuente de evidencia, fusionados en un mismo reloj UTC.

/evidence-map

El mapa de evidencias de macOS

Seis áreas cubren las preguntas de cualquier investigación en Mac: cómo adquirir, qué se ejecutó, qué cambió en disco, qué hizo el usuario, cómo persistió la amenaza y a qué tenía acceso.

01

Adquisición y triaje

Recopilar un Mac sin perder evidencias: Aftermath, mac_apt, UAC y Apple Silicon.

  • Aftermath
  • mac_apt
  • UAC
  • log collect
  • macOS Forensic Acquisition: Live vs Dead-Box Triage
  • Apple Silicon Forensics: What M-Series Macs Change

2 guíasEN

02

Registros unificados

Consultar los registros tracev3: inicios de sesión, sudo, SSH, instalaciones, Gatekeeper y TCC.

  • /private/var/db/diagnostics
  • uuidtext
  • .logarchive
  • macOS Unified Logs Forensics: tracev3, log show, Predicates

1 guíaEN

03

APFS, instantáneas y FSEvents

Leer las marcas de tiempo de APFS, montar instantáneas locales y reconstruir el historial de cambios.

  • /.fseventsd
  • tmutil
  • kMDItemDateAdded
  • APFS Snapshots and Timestamps: A Forensic Guide for macOS
  • FSEvents Forensics: The macOS File System Change Log

2 guíasEN

04

Actividad del usuario

KnowledgeC, Biome, Spotlight y Safari: qué abrió el usuario, cuándo y durante cuánto tiempo.

  • knowledgeC.db
  • Biome
  • History.db
  • .Spotlight-V100
  • knowledgeC.db and Biome: Reconstructing Mac User Activity
  • Spotlight Forensics: Metadata Stores, mdls and Parsing
  • Safari Forensics on macOS: History.db, Downloads and Tabs

3 guíasEN

05

Ejecución y persistencia

Seguir las descargas con la cuarentena y Gatekeeper, y cazar LaunchAgents y elementos de inicio.

  • com.apple.quarantine
  • QuarantineEventsV2
  • LaunchAgents
  • sfltool dumpbtm
  • Quarantine Events and Gatekeeper: Tracing Mac Downloads
  • Investigating launchd Persistence on macOS

2 guíasEN

06

TCC y llavero

Ver qué aplicaciones obtuvieron acceso total al disco, grabación de pantalla o accesibilidad, y qué revela el llavero.

  • TCC.db
  • login.keychain-db
  • MDMOverrides.plist
  • TCC Database Forensics: macOS Privacy Permissions
  • macOS Keychain Forensics: Concepts and Metadata

2 guíasEN

/guides

Empieza por una guía

Todas las guías

01 · Adquisición y triaje

macOS Forensic Acquisition: Live vs Dead-Box Triage

How to acquire evidence from a Mac: live vs dead-box, FileVault, Full Disk Access, SIP, order of volatility, and triage with Aftermath, mac_apt and UAC.

ENLeer la guía

03 · APFS, instantáneas y FSEvents

FSEvents Forensics: The macOS File System Change Log

How the macOS .fseventsd logs record file creation, deletion and rename events, how to parse them, and how to estimate dates without per-record timestamps.

ENLeer la guía

06 · TCC y llavero

TCC Database Forensics: macOS Privacy Permissions

Analyze macOS TCC.db privacy permissions: access table columns, service names, auth_value meanings, MDM grants, SIP protection and unified log evidence.

ENLeer la guía

05 · Ejecución y persistencia

Investigating launchd Persistence on macOS

Find and analyze macOS persistence: LaunchAgents, LaunchDaemons, launchctl, Background Task Management (sfltool dumpbtm), cron, periodic and profiles.

ENLeer la guía

/method

Cómo se escriben las guías

  • Primero el artefacto

    Cada guía parte del fichero en disco: ruta, formato, época de referencia y la pregunta que responde.

  • Atentas a la versión

    macOS cambia sus artefactos entre versiones. Las guías indican qué se movió, qué se renombró y qué verificar en tu objetivo.

  • Defensivas por diseño

    Solo adquisición, análisis y detección. Sin código de explotación, sin recetas de evasión, sin robo de credenciales.

/glossary

Domina el vocabulario

Definiciones breves de los términos que encontrarás en cualquier caso de macOS.

Glosario completo