El registro unificado de macOS — subsistemas, categorías y niveles

macOS junta en un único registro, el registro unificado, los mensajes del sistema y de las aplicaciones. Cada mensaje lo escribe un proceso y trae etiquetas que sirven para buscar. Dos de ellas las define quien programa el componente: el subsistema, que suele ser un identificador en forma de dominio invertido (por ejemplo com.empresa.programa), y la categoría, que agrupa dentro del subsistema una función concreta, como la red o la autenticación.

Para el analista eso cambia la forma de buscar: en lugar de recorrer archivos de texto por nombre, se filtra por proceso, por subsistema o por categoría. La tercera etiqueta es el nivel, que se ve en la tarea 4.

Abre la consola del laboratorio. La tabla registro trae lo que escribieron los componentes de asi-mac-014 durante la mañana. Primero míralo entero con registro y después quédate solo con los errores: registro | where nivel == "error".

Cada fila dice la hora, el proceso, el subsistema, la categoría, el nivel y el texto. Un error no es un incidente por sí solo, pero dice dónde ocurrió: la categoría ya te orienta hacia qué parte del componente falló.

Un mensaje de nivel fault es el de mayor gravedad: el componente avisa de un fallo que no esperaba. Para ver los dos niveles altos juntos se usa una lista en la condición: registro | where nivel in ("error", "fault").

Después de leer el texto del mensaje, anota siempre el proceso. No es lo mismo que falle el agente de VPN que un agente que maneja la configuración del equipo.

El registro unificado conoce cinco niveles: debug, info, default, error y fault. Según la documentación de Apple, los dos más bajos, debug e info, no se guardan en disco por defecto: son para quien depura un programa en ese momento. Los otros tres sí quedan para consultarlos después.

La consecuencia para el SOC es práctica: una exportación hecha tiempo después puede no traer mensajes de debug ni de info de ese momento. Si falta un detalle fino, la ausencia no prueba que no ocurriera. Y el contenido dinámico de los mensajes se marca como privado o público; lo privado se muestra redactado.

Los mensajes de un componente se exportan para analizarlos fuera del equipo y se buscan con una condición, igual que en un SIEM: por proceso, por subsistema, por categoría o por nivel. En un Mac real esa lectura se hace con la herramienta de línea de comandos log del propio sistema; aquí se hace sobre la tabla de ejemplo.

Ejecuta registro | where categoria == "red" para ver lo que escribió esa categoría durante la mañana y cuenta las filas que devuelve.