¿Puedo usar los registros del sistema para saber si se hicieron inicios de sesión, cierres de sesión, etc. en esta Mac? ... ¿cómo puedo saber que el usuario no colocó el almacenamiento en otra Mac similar y operó la máquina desde esa mac?
¿Algún libro / artículo / curso que explique esto? (sin tener que hacer una licenciatura en forense digital)
Puede usar la herramienta de línea de comando last para enumerar sesiones de usuarios específicos.
No puedo encontrar un manual en línea que Apple hospeda, así que encontré lo más cercano que pude.
Por ejemplo, en el terminal.app puedes escribir
last "name of user"
Ese comando obtiene una lista de inicios de sesión (entre otros datos para dicho usuario; consulte el enlace anterior para obtener información específica). Sin embargo, debería poder tener una idea de cuándo el usuario estaba en la computadora o no. Por lo tanto, determinar si el usuario estaba en una computadora en un momento dado. Esto no le dirá a qué archivos transfirió o accedió el usuario. Sin embargo, es posible que pueda reducirlo si sabe en qué máquina se encontraba una persona determinada en un momento dado.
Lea otras preguntas en las etiquetas macos