如何在macOS上监控并关联文件操作与网络传输事件（含HTTPS）？

需求概述 #

希望实现一种方案，记录macOS系统上所有文件的上传、下载、创建、修改（含新建、编辑、删除）及传输/共享事件，覆盖浏览器及所有其他应用。核心目标是识别上传/下载的文件，若可能，即使是HTTPS加密传输，也要确定网络传输的源或目标URL。

明确单一方法无法覆盖所有场景，愿意结合多种技术，但拒绝基于代理的方案，原因如下：

• 主机已运行代理时，新代理会干扰现有服务
• 代理会降低系统效率并带来性能开销
• 仅需监控记录事件，无需拦截流量

已评估的技术选项 #

1. Audit Logs / OpenBSM
   利用macOS原生审计框架记录文件系统事件（创建、修改、删除），可捕获底层文件操作，但无法直接关联文件操作与网络上传/下载事件。

2. Endpoint Security Framework (ESF)
   可观测文件访问、进程活动等系统级事件，能高效记录文件操作，但将系统事件与网络事件（如确定上传文件对应的目标URL或主机名）关联存在固有难度。

3. Dynamic Instrumentation / Hooking
   使用Frida等工具挂钩网络系统调用（如SSL_write等HTTPS库函数），可在加密前捕获明文数据，但存在以下挑战：

   • 需要兼容不同网络库（SecureTransport与OpenSSL）
   • 确保可靠捕获HTTP/HTTPS上传行为
   • 准确关联拦截到的网络数据与文件系统活动

核心挑战 #

• 文件操作与网络上传的关联：不仅要记录本地文件操作的时间，还要匹配对应的网络事件（例如关联文件上传到对应的HTTP POST请求）
• 加密流量处理：现代浏览器默认使用HTTPS，无代理或深度插桩的前提下，提取加密流量中的负载细节（如文件名）难度极大

具体问题 #

针对现代macOS（如macOS Sequoia 15.4.1），希望得到以下问题的解决方案：

• 如何使用Audit Framework或Endpoint Security Framework等macOS内置工具，记录详细的文件事件（创建、修改、删除）？
• 如何将这些文件事件与网络活动（上传/下载）关联，确定文件传输到了哪个网站？
• 如何在不使用代理的情况下，可靠处理HTTPS加密流量以提取传输细节（如目标URL/主机名）？

期望获得基于macOS原生机制、动态插桩或两者结合的实现见解、示例代码或参考资料。

内容的提问来源于stack exchange，提问作者Aayush Shah