AutoTimeliner

استخراج الجدول الزمني للطب الشرعي تلقائياً من تفريغات الذاكرة المتطايرة.

يقوم AutoTimeliner بتشغيل العديد من إضافات Volatility3 ضد صور ذاكرة Windows و Linux و macOS، ثم يدمج مخرجاتها في جدول زمني واحد CSV مرتب:

إضافة الجدول الزمني العام

مجموعة إضافات Windows

مجموعة إضافات Linux

مجموعة إضافات macOS

تحليل العمليات والتنفيذ في Windows

تحليل الشبكة في Windows

كشف البرامج الضارة في Windows

إضافات Windows إضافية (اختيارية)

المتطلبات

يقوم AutoTimeliner بتحديد عائلة صورة الذاكرة تلقائياً وتمكين مجموعة الإضافات المناسبة لنظام Windows أو Linux أو macOS. لبدء تشغيل أسرع، يمكنك تمرير --os-hint لتخطي الكشف التلقائي.

التثبيت

باستخدام Poetry (موصى به)

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

باستخدام pip

pip install .

الاستخدام

autotimeliner -f IMAGEFILE [-t TIMEFRAME] [-o OUTPUT] [options]

الخيارات

أمثلة

استخراج جدول زمني كامل من صورة واحدة:

autotimeliner -f TargetServer.raw

التصفية إلى نافذة زمنية معينة:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

معالجة جميع ملفات .raw في دليل، مع تحديد مسار الإخراج:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

تسريع بدء التشغيل عندما تعرف نظام تشغيل التفريغ مسبقاً:

autotimeliner -f TargetServer.raw --os-hint windows

استخدام قيم مرادفات macOS للراحة:

autotimeliner -f MacbookCapture.mem --os-hint darwin

تشغيل timeliner و shellbags فقط (تخطي فحص MFT):

autotimeliner -f TargetServer.raw --skip-mftscan

فحص طب شرعي كامل (مجموعة إضافات Windows + الإضافات الموسعة الاختيارية):

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

فحص سريع مركز على البرامج الضارة:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

جمع جدول زمني مركز على Linux (تمكين إضافات linux تلقائياً):

autotimeliner -f UbuntuWorkstation.mem

جمع جدول زمني مركز على macOS (تمكين إضافات macOS تلقائياً):

autotimeliner -f MacbookCapture.mem

الإخراج

يحتوي ملف CSV الناتج على الأعمدة التالية:

أداء التعريف

يتضمن AutoTimeliner العديد من التحسينات لتقليل وقت التعريف:

• --os-hint يتجاوز اكتشاف نظام التشغيل التلقائي بالكامل.
• ترتيب الفحص مُحسَّن باستخدام تلميحات اسم الملف (مثلاً linux، ubuntu، macos).
• يتم تخزين نتائج التعريف مؤقتاً لكل مفتاح صورة (path + size + mtime).

ملف التخزين المؤقت:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

أثناء الكشف، تتضمن السجلات رسائل تقدم الفحص ونتائجه مثل:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

الترحيل من v1 (Volatility2)

راجع docs/migration.md للحصول على مقارنة كاملة.

التغييرات الرئيسية:

• تعريف ملف التعريف Volatility3 — يقوم AutoTimeliner بإجراء فحص أفضل جهد لنظام التشغيل/ملف التعريف عبر إضافات Volatility3.
• إعداد جداول الرموز تلقائياً — يتم تنزيل حزم رموز Windows/macOS/Linux وتثبيتها تلقائياً.
• -p / --customprofile مهمل — يتم تجاهله بصمت.
• mftparser → mftscan — نفس البيانات، اسم إضافة جديد.
• لا يتم كتابة ملفات body على القرص — تتدفق البيانات عبر Python مباشرة إلى CSV.
• mactime أصبح اختيارياً — استخدم --use-mactime لسير عمل ملف body القديم.

التطوير

poetry install
poetry run pytest

الترخيص

MIT — راجع LICENSE.

المؤلف

Andrea Fortuna — [email protected] — andreafortuna.org