Glosario
Tiempo absoluto de Mac
Segundos desde el 2001-01-01 00:00:00 UTC, la época que usa LSQuarantineTimeStamp. Sume 978307200 para pasarlo a tiempo Unix.
El tiempo absoluto de Mac cuenta los segundos transcurridos desde el 2001-01-01 00:00:00 UTC. Es el formato de LSQuarantineTimeStamp en QuarantineEventsV2. Sumando 978307200 se obtiene tiempo Unix, que es lo que hace datetime(LSQuarantineTimeStamp + 978307200, 'unixepoch') en sqlite3.
La columna está declarada como REAL, pero SQLite puede guardar en disco un valor REAL entero como entero, una optimización de almacenamiento documentada, así que un parser debe aceptar ambas codificaciones. No confunda esta época con el campo de hora del atributo de cuarentena, que son segundos Unix en hexadecimal y se convierte con date -u -r $((16#66f7c2a1)). Mezclar ambos desplaza una línea de tiempo 31 años. Consulte el análisis forense de QuarantineEventsV2.