IRFlow Timeline

تحليل الجدول الزمني الشرعي الأصلي لنظام macOS. استيراد والبحث والتحقيق في EVTX وCSV وXLSX وPlaso و$MFT و$J وأدلة المساعد الذكي المحلي — مع AI Secret Hunt والتحليلات التي يحتاجها محترفو DFIR فعلًا. مبني على Electron + SQLite للتعامل مع ملايين الصفوف دون عناء.

مستوحى من Timeline Explorer من Eric Zimmerman لنظام Windows.

الميزات الرئيسية

• أدلة الذكاء الاصطناعي — جمع السجل المحلي للذكاء الاصطناعي من Claude Code وCodex وChatGPT Desktop وGemini CLI وCursor وCopilot وWindsurf وContinue في تبويب جدول زمني واحد؛ AI Secret Hunt للبحث عن المفاتيح والرموز وبيانات الاعتماد المكشوفة
• استيراد أدلة NTFS الخام — استيعاب مباشر لـ $MFT و$UsnJrnl ($J) مع إعادة بناء المسار الكامل، والطوابع الزمنية SI/FN، وخرائط أسباب التغيير
• تحليلات برمجيات الفدية — تحليل تلقائي للأثر من بيانات $MFT: كشف إعادة التسمية الجماعية، وتحليل الامتدادات القائم على الإنتروبيا، وتحديد رسائل الفدية، والتجميع الزمني
• إثراء VirusTotal — مطابقة مؤشرات الاختراق (IOC) مع عمليات بحث VT الجماعية، واستخراج عائلات البرمجيات الخبيثة، وشارات الأحكام، والتنقل عبر العلاقات، والتخزين المؤقت المحلي
• مفتش العمليات — تحليل شجرة عمليات الآباء والأبناء مع أكثر من 340 قاعدة كشف من MITRE ATT&CK
• متتبع الحركة الجانبية — تصور تسجيلات الدخول عبر الشبكة وجلسات RDP كرسوم بيانية تفاعلية موجهة بالقوى
• استعادة ذاكرة التخزين المؤقت للصور النقطية في RDP — استعادة أدلة bcache*.bmc وcache????.bin باستخدام bmc-tools المدمج، ومعاينة الصور، وتصدير حزم الأدلة
• محلل الثبات — أكثر من 30 أسلوب ثبات مع كشف سلاسل الحسابات، والربط بين الأساليب، وإعادة تجميع كتل سكربت PowerShell 4104
• مطابقة مؤشرات الاختراق — أكثر من 17 فئة من المؤشرات مع إبطال الروابط تلقائيًا، والتمييز داخل النص، وتصدير CSV/HTML مع بيانات إثراء VT

للقائمة الكاملة للميزات والوثائق، تفضل بزيارة وثائق IRFlow Timeline.

البناء من المصدر

المتطلبات الأساسية (للمطورين فقط):

• Node.js 18+: brew install node
• أدوات سطر أوامر Xcode: xcode-select --install (لتجميع الوحدات الأصلية)
• macOS 12+ (Monterey أو أحدث)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Development (hot-reload)
npm run dev

# Build + launch
npm run start

# Package as universal DMG
npm run dist:universal

الإخراج في release/.

الاعتمادات والتقدير

مستوحى من Timeline Explorer لإريك زيمرمان.

المشاريع مفتوحة المصدر

مجتمع DFIR

• Eric Zimmerman -- Timeline Explorer لنظام Windows، الإلهام الأصلي لهذا المشروع
• log2timeline/Plaso -- إطار توليد الجداول الزمنية الفائقة من كريستين غودجونسون والمساهمين
• SANS DFIR -- تدريب DFIR وموارد المجتمع
• The DFIR Report -- تقارير تحليل الاختراقات الواقعية التي ساهمت في تشكيل أنماط كشف التهديدات
• CyberCX -- أبحاث $UsnJrnl في NTFS التي ساهمت في تنفيذ تحليل $J

المختبِرون التجريبيون

شكرًا للأشخاص التاليين على اختبار المشروع وتقديم الملاحظات:

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

الترخيص

Apache-2.0