Log de remoção de dispositivo USB no OS X

3

Recentemente, tivemos um dongle de software USB roubado de nosso estúdio contendo software muito caro. Se pudermos calcular a data / hora em que foram tiradas nas últimas 3 semanas, provavelmente poderemos identificar quem fez isso. O OS X mantém registros de dispositivos USB removidos e, em caso afirmativo, como podemos acessá-los?

    
por willG 28.06.2013 / 16:15

1 resposta

3

Isso pode ser útil, mas você precisa usar o terminal. Vamos procurar as datas certas no arquivo de log do sistema. Depois que encontramos o primeiro hit, continuamos a investigar o número do identificador USB que ele possui.

Primeiro de tudo, abra o terminal a partir do refletor ou Aplicativos / Utilitários / Terminal.app

Mude para o diretório de log por:

$ cd /var/log

Verifique o arquivo de registro atual após a data anterior ao roubo do dispositivo.

$ head system.log

Se a data ou a hora não estiverem corretas, continue analisando os arquivos mais antigos.  O primeiro comando fornece quantos arquivos de registro você tem começando com o nome "sistema".  E depois que você descobriu quantos arquivos você tem, então você tem que fazer o mesmo que antes.  Verifique se a data está correta com outro comando.

$ ls -a system*
$ bzcat system.log.xx.bz2 | head

Depois de ter descoberto os arquivos de log corretos, continue verificando a hora.

OK, agora você encontrou o arquivo correto para a data correta. Vamos tentar encontrar um número de identificação correto.

$ bzcat system.log.xx.bz2 | grep USBMSC

A saída deve ser fácil de entender como esta.

Jun 23 10:59:09 kernel[0]: USBMSC Identifier (non-unique): XXXXXXXXXXXXXXXXXXXXXX

Se você acha que encontrou o Identificador USB, certifique-se de controlar se é o certo antes de assumir quem o roubou.

Use o mesmo comando de antes e tente encontrar o mesmo Identificador nos arquivos de log mais recentes usando este comando

$ bzcat system.log.xx.bz2 | grep XXXXXXX ( the usb identifier number ) 

Você não conseguirá encontrar nenhum resultado, mas provavelmente em arquivos mais antigos, caso tenha usado o dispositivo USB mais de uma vez.

    
por 29.06.2013 / 21:29