Debugging macOS dengan Endpoint Security

Untuk menggunakan dtrace atau dtruss pada macOS, SIP harus dinonaktifkan.

Endpoint Security Framework Apple dapat digunakan sebagai alternatif tanpa menonaktifkan SIP.

Eslogger adalah utilitas baris perintah di /usr/bin/eslogger untuk memantau peristiwa sistem.

Perintah eslogger --list-events menampilkan daftar jenis peristiwa yang didukung.

Dengan sudo eslogger [tipe peristiwa], pengguna dapat memantau peristiwa tertentu dalam format JSONL.

Output JSONL dapat diproses menggunakan jq untuk mengekstraksi informasi spesifik.

Contoh: sudo eslogger exec | jq -r '.event.exec.target.executable.path' menampilkan executable yang dijalankan.

Tersedia juga aplikasi GUI seperti File Monitor, ProcessMonitor, Crescendo, dan Red Canary Mac Monitor.

Semua alat tersebut menggunakan Endpoint Security Framework dan memberikan hasil serupa.