OSX High Sierra Wake Grund Syslog Ort?

3

Ich verwende OSX 10.13.3. Ich verstehe, dass ich, wenn ich den folgenden Befehl im Terminal ausführe, den Aktivierungsgrund für meinen Computer erhalte.

log show --style syslog | fgrep "Grund wecken"

Wenn ich den obigen Befehl im Terminal ausführe, werden mir derzeit Informationen aus dem 17.02.18 angezeigt. Ich habe alle Daten in meinen Protokolldateien gelöscht, einschließlich: private / var / log; Benutzer / Bibliothek / Protokolle; Macintosh HD / Library / Logs - wird daher nicht von einem dieser Speicherorte abgerufen. Ich hätte gedacht, der Grund für das Aufwecken wäre in der Datei system.log enthalten. Dies ist jedoch eindeutig nicht der Fall, da der obige Befehl auch nach dem Löschen dieser Datei und dem Neustart weiterhin Informationen auflistet, die bis vor 3 Wochen zurückreichen, und die Datei system.log nur Daten aus dem Zeitpunkt enthält, an dem die Datei neu erstellt wurde.

Kann jemand erklären, woher diese Informationen stammen? Gibt es eine bestimmte Protokolldatei mit diesen Informationen? Oder ist es irgendwo in einer ASL-Datenbankdatei vergraben?

Danke.

cc970
quelle

Antworten:

3

Aktualisieren / Beantworten: Syslog-Dateien sind jetzt Teil von Unified Logging und werden hier gespeichert:

/ var / db / diagnostics /

/ var / db / uuidtext /

Hier finden Sie weitere Informationen:

https://eclecticlight.co/2017/09/23/sierras-unified-log-evolves-more-persistent-and-a-valuable-log-log/

https://www.mac4n6.com/blog/2016/11/13/new-macos-sierra-1012-forensic-artifacts-introducing-unified-logging

https://developer.apple.com/documentation/os/logging?language=occ

Verwenden Sie terminal und den Befehl "log collect", um Datensätze zu sammeln und auf die Festplatte zu exportieren. Verwenden Sie "log show" zur Überprüfung. Muss als root im Terminal angemeldet sein.

Beispiel:

log collect --start "2018-03-05" --output /Users/username/desktop/mylogs.logarchive

log show /Users/username/desktop/mylogs.logarchive

Verwenden Sie zum Eingrenzen der Suche nach Aktivierungsgründen die folgenden Datumsbefehle:

log show --style syslog --start "2018-03-07" | fgrep "Grund wecken"

cc970
quelle