我回来了！

2024年5月6日 · 更新

大家好，我回来了！我休息了一段时间，因为职业倦怠可不是开玩笑的——说真的……要照顾好自己！我经历了一段所谓的“中年退休”——环游世界，弥补疫情期间失去的旅行机会。

我一直在进行几个项目，最近（也是本次更新的目的）更新了我最喜欢的脚本之一——Nicole Ibrahim的FSEventsParser。我已将其更新至Python 3，并适配了macOS 14的最新版本，即版本3（SLD3头部）。

FSEvents是我最喜欢的取证工件之一。如果你没有解析它们，你绝对会错过极好的文件系统相关信息。文件创建！文件删除！还有更多！你可以在这里获取我的脚本版本：https://github.com/mac4n6/FSEventsParser

*注意：新格式有一个新字段；我尚未深入研究其用途。

这个脚本的出现是因为我对我的课程进行了大规模更新。如果你从未（或很久没有）参加过SANS FOR518课程，现在正是好时机！有一个全新的数据集，包含最新最好的操作系统，这也意味着全新的工作簿，带有23个新实验！

我添加了大量新材料，并非常兴奋地在课程中引入了一个新的取证测试模块，使用Corellium。如果你经常阅读这个博客，你知道我是测试一切的坚定支持者！

感谢Kat Hedley，我们还有一个新的CTF风格挑战，并且我一直在演示Apple Vision Pro的实时取证！

Lee和我有即将开始的课程！

• 圣地亚哥（面对面和在线 - 本周四5月9日开始！）
• 八月美国DFIR峰会（仅在线）
• 九月亚太DFIR峰会“在”东京，带日语翻译（仅在线）
• 十月欧洲DFIR峰会在捷克布拉格（面对面和在线）
• 十一月DFIRCon（仅在线）
• 十二月在线“在”东京，带日语翻译（仅在线）

课程的新的点播版本也刚刚发布！随时学习！

别忘了这门课程现在有GIAC认证，即GIAC iOS和macOS审查员（GIME）。我希望这是我发布的新一代博客的第一篇。我有一些好想法，想要研究和撰写，但我会相对轻松地处理，以免再次倦怠。

标签： FSEvents, for518

18个赞

分享

评论（6）

最新优先

Grace
一年前 · 待审核 · 0赞
嗨Sarah-我最近在巴尔的摩参加了你的FOR518课程。你有什么建议，如何直接挂载AFF4镜像或将其转换为DMG？谢谢！

Sarah Edwards
一年前 · 待审核 · 0赞
我没有，我能告诉你的最好方法是转换为可挂载格式。

CarlosH
两年前 · 待审核 · 0赞
你今年在美国有面对面的FOR518培训课程吗？

Sarah Edwards
一年前 · 待审核 · 0赞
截至今天，没有——但这肯定会改变！请持续查看https://www.sans.org/cyber-security-courses/mac-and-ios-forensic-analysis-and-incident-response/获取更新。

Ryan
两年前 · 待审核 · 0赞
这个能用于iOS吗？

Sarah Edwards
一年前 · 待审核 · 0赞
应该可以！