取证工件地图
拿到 Mac 镜像后的第一个障碍不是技术，是心智模型。
知识节点
安全与权限
在 计算机取证 中继续浏览相关技术、方法与案例。
关联资源
围绕“安全与权限”继续查找可练习的题目与可用检材。
节点文档
当前节点及其下级节点已经公开的知识内容。
阅读
取证实战流程
前七篇讲"macOS 上有什么、怎么看"。
Keychain 与 Safari 痕迹
Keychain 是 macOS 的凭据中枢，Safari 的历史数据库是 macOS 上最完整的浏览行为记录。 在 Windows 上这两件事分别对应「凭据管理器」和「Chrome/Edge 的 History 数据库」，但有两处差异必须先讲清。
Quarantine 与 Gatekeeper
macOS 上有一样 Windows 没有的元数据：扩展属性（extended attributes）。