TrueTree

TrueTree es una herramienta de línea de comandos para macOS que muestra las relaciones entre procesos en forma de árbol. Está orientada a ayudar a quienes investigan amenazas y responden a incidentes a entender cómo se iniciaron los procesos, también en situaciones en las que la vista habitual del proceso padre resulta menos informativa en macOS.

La herramienta utiliza detalles disponibles mediante launchctl procinfo en macOS para mostrar la ascendencia de los procesos. La descripción oficial señala como contexto útil para reconstruir esas relaciones los identificadores de proceso responsable, el proceso que solicitó la apertura de una aplicación y las rutas de archivos plist de launch daemons o agents. Estos datos pueden ayudar a seguir el origen de una aplicación o servicio, incluso si el proceso solicitante ya terminó.

• Genera una salida similar a pstree desde la línea de comandos.
• Está pensada para examinar la ascendencia de procesos de macOS en tareas de búsqueda de amenazas y respuesta a incidentes.
• Usa información de procesos asociada a launchctl procinfo para aclarar las relaciones frente a un listado básico de procesos padre.
• Se instala como el ejecutable TrueTree.

Instálala con brew install --cask truetree. Después, ejecuta TrueTree desde un terminal. El paquete proporcionado es la herramienta de línea de comandos, no una aplicación gráfica. Está destinada a macOS; la información disponible no especifica otros requisitos del sistema operativo ni opciones de comandos.

Fuentes: Concepto de TrueTree · Cask de Homebrew