irflow-timeline v1.0.8
تحليل الجدول الزمني DFIR لنظام macOS — عارض يعتمد على SQLite لملفات CSV وTSV وXLSX وEVTX وPlaso و$MFT و$J مع AI Artifacts وAI Secret Hunt وفحص العمليات وتتبع الحركة الجانبية وكشف الاستمرارية وإثراء VirusTotal.
IRFlow Timeline
تحليل الجدول الزمني الشرعي الأصلي لنظام macOS. استيراد والبحث والتحقيق في EVTX وCSV وXLSX وPlaso و$MFT و$J وأدلة المساعد الذكي المحلي — مع AI Secret Hunt والتحليلات التي يحتاجها محترفو DFIR فعلًا. مبني على Electron + SQLite للتعامل مع ملايين الصفوف دون عناء.
مستوحى من Timeline Explorer من Eric Zimmerman لنظام Windows.
الميزات الرئيسية
- أدلة الذكاء الاصطناعي — جمع السجل المحلي للذكاء الاصطناعي من Claude Code وCodex وChatGPT Desktop وGemini CLI وCursor وCopilot وWindsurf وContinue في تبويب جدول زمني واحد؛ AI Secret Hunt للبحث عن المفاتيح والرموز وبيانات الاعتماد المكشوفة
- استيراد أدلة NTFS الخام — استيعاب مباشر لـ
$MFTو$UsnJrnl($J) مع إعادة بناء المسار الكامل، والطوابع الزمنية SI/FN، وخرائط أسباب التغيير - تحليلات برمجيات الفدية — تحليل تلقائي للأثر من بيانات
$MFT: كشف إعادة التسمية الجماعية، وتحليل الامتدادات القائم على الإنتروبيا، وتحديد رسائل الفدية، والتجميع الزمني - إثراء VirusTotal — مطابقة مؤشرات الاختراق (IOC) مع عمليات بحث VT الجماعية، واستخراج عائلات البرمجيات الخبيثة، وشارات الأحكام، والتنقل عبر العلاقات، والتخزين المؤقت المحلي
- مفتش العمليات — تحليل شجرة عمليات الآباء والأبناء مع أكثر من 340 قاعدة كشف من MITRE ATT&CK
- متتبع الحركة الجانبية — تصور تسجيلات الدخول عبر الشبكة وجلسات RDP كرسوم بيانية تفاعلية موجهة بالقوى
- استعادة ذاكرة التخزين المؤقت للصور النقطية في RDP — استعادة أدلة
bcache*.bmcوcache????.binباستخدام bmc-tools المدمج، ومعاينة الصور، وتصدير حزم الأدلة - محلل الثبات — أكثر من 30 أسلوب ثبات مع كشف سلاسل الحسابات، والربط بين الأساليب، وإعادة تجميع كتل سكربت PowerShell 4104
- مطابقة مؤشرات الاختراق — أكثر من 17 فئة من المؤشرات مع إبطال الروابط تلقائيًا، والتمييز داخل النص، وتصدير CSV/HTML مع بيانات إثراء VT
للقائمة الكاملة للميزات والوثائق، تفضل بزيارة وثائق IRFlow Timeline.
البناء من المصدر
المتطلبات الأساسية (للمطورين فقط):
- Node.js 18+:
brew install node - أدوات سطر أوامر Xcode:
xcode-select --install(لتجميع الوحدات الأصلية) - macOS 12+ (Monterey أو أحدث)
git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3
# Development (hot-reload)
npm run dev
# Build + launch
npm run start
# Package as universal DMG
npm run dist:universal
الإخراج في release/.
الاعتمادات والتقدير
مستوحى من Timeline Explorer لإريك زيمرمان.
المشاريع مفتوحة المصدر
| المشروع | الاستخدام | الرابط |
|---|---|---|
| Electron | إطار عمل التطبيق | electron/electron |
| better-sqlite3 | محرك SQLite عالي الأداء مع وضع WAL وFTS5 | WiseLibs/better-sqlite3 |
| @ts-evtx/core | تحليل سجلات أحداث Windows EVTX الأصلية | NickSmet/ts-evtx |
| Plaso (log2timeline) | توليد الجداول الزمنية الجنائية (نستورد مخرجات Plaso SQLite) | log2timeline/plaso |
| ExcelJS | قارئ XLSX بالتدفق | exceljs/exceljs |
| SheetJS (xlsx) | تحليل XLSX | SheetJS/sheetjs |
| csv-parser | محلل CSV/TSV بالتدفق | mafintosh/csv-parser |
| React | عرض واجهة المستخدم | facebook/react |
| Vite | أدوات البناء وإعادة التحميل السريع | vitejs/vite |
| VitePress | موقع الوثائق | vuejs/vitepress |
| electron-builder | تغليف تطبيقات macOS بصيغة DMG | electron-userland/electron-builder |
| bmc-tools | استعادة ذاكرة التخزين المؤقت للصور النقطية في RDP | ANSSI-FR/bmc-tools |
مجتمع DFIR
- Eric Zimmerman -- Timeline Explorer لنظام Windows، الإلهام الأصلي لهذا المشروع
- log2timeline/Plaso -- إطار توليد الجداول الزمنية الفائقة من كريستين غودجونسون والمساهمين
- SANS DFIR -- تدريب DFIR وموارد المجتمع
- The DFIR Report -- تقارير تحليل الاختراقات الواقعية التي ساهمت في تشكيل أنماط كشف التهديدات
- CyberCX -- أبحاث
$UsnJrnlفي NTFS التي ساهمت في تنفيذ تحليل$J
المختبِرون التجريبيون
شكرًا للأشخاص التاليين على اختبار المشروع وتقديم الملاحظات:
الترخيص
Apache-2.0