L’option Collect Diagnostic and Crash Files (Collecte des fichiers de diagnostic et de plantage) permet de collecter des données dans les rapports de diagnostics suivants. Afin de respecter les restrictions imposées à la taille des fichiers dans les solutions SIEM, les fichiers sont tronqués pour ne pas dépasser 10 Ko.
/Library/Logs/DiagnosticReports/filename.diag
/Users/Username/Library/Logs/DiagnosticReports/filename.diag
/Library/Logs/DiagnosticReports/filename.ips
/Users/Username/Library/Logs/DiagnosticReports/filename.ips
Exemple LOG_FILE_COLLECTION
L’exemple qui suit est un exemple de journal des évènements pour la collecte de fichiers journaux de diagnostic.
{
"file": {
"path": "/Library/Logs/DiagnosticReports/WindowServer_2022-07-07-093539_C02Z310ELVDMMBP.cpu_resource.diag",
"size": 123456,
"truncated": true,
"contents": "Date/Time: 2022-07-07 09:32:16.402 -0400\nEnd time: 2022-07-07 09:35:12.750 -0400\nOS Version: macOS 12.4 (Build 21F79)"
},
"header": {
"event_name": "LOG_FILE_COLLECTION",
"time_seconds_epoch": 1571164227
},
"host_info": {
"host_name": "Admin_macbook_pro",
"host_uuid": "3F6E4B3A-9285-4E7E-9A0C-C3B62DA123BC",
"osversion": "Version 10.15 (Build 19A582a)",
"primary_mac_address": "12:f3:e4:56:7a:89",
"serial_number": "C03XY889ABC3"
}
}