AutoTimeliner

Forensische Zeitlinien automatisch aus Arbeitsspeicherabbildern extrahieren.

AutoTimeliner führt mehrere Volatility3-Plugins gegen Windows-, Linux- und macOS-Arbeitsspeicherabbilder aus und führt deren Ausgabe dann in einer einzigen, sortierten CSV-Zeitleiste zusammen:

Generisches Timeline-Plugin

Windows-Plugin-Set

Linux-Plugin-Set

macOS-Plugin-Set

Windows-Prozess- und Ausführungsanalyse

Windows-Netzwerkanalyse

Windows-Malware-Erkennung

Zusätzliche Windows-Plugins (optional)

Anforderungen

AutoTimeliner erkennt automatisch die Betriebssystemfamilie des Speicherabbilds und aktiviert das entsprechende Plugin-Set für Windows, Linux oder macOS. Für einen schnelleren Start können Sie --os-hint übergeben, um die automatische Erkennung zu überspringen.

Installation

Mit Poetry (empfohlen)

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

Mit pip

pip install .

Verwendung

autotimeliner -f IMAGEDATEI [-t ZEITRAUM] [-o AUSGABE] [Optionen]

Optionen

Beispiele

Vollständige Zeitlinie aus einem einzelnen Abbild extrahieren:

autotimeliner -f TargetServer.raw

Auf ein bestimmtes Zeitfenster filtern:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

Alle .raw-Dateien in einem Verzeichnis verarbeiten, Ausgabepfad angeben:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

Start beschleunigen, wenn das Betriebssystem des Dumps bereits bekannt ist:

autotimeliner -f TargetServer.raw --os-hint windows

macOS-Alias-Werte der Einfachheit halber verwenden:

autotimeliner -f MacbookCapture.mem --os-hint darwin

Nur timeliner und shellbags ausführen (MFT-Scan überspringen):

autotimeliner -f TargetServer.raw --skip-mftscan

Vollständiger forensischer Scan (Windows-Plugin-Set + optionale erweiterte Plugins):

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

Schneller malware-fokussierter Scan:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

Linux-fokussierte Zeitlinien-Erfassung (aktiviert automatisch Linux-Plugins):

autotimeliner -f UbuntuWorkstation.mem

macOS-fokussierte Zeitlinien-Erfassung (aktiviert automatisch macOS-Plugins):

autotimeliner -f MacbookCapture.mem

Ausgabe

Die ausgegebene CSV hat die folgenden Spalten:

Identifikationsleistung

AutoTimeliner enthält mehrere Optimierungen zur Reduzierung der Identifikationszeit:

• --os-hint umgeht die automatische Betriebssystemerkennung vollständig.
• Die Prüfreihenfolge wird mithilfe von Dateinamenshinweisen optimiert (z.B. linux, ubuntu, macos).
• Identifikationsergebnisse werden pro Bildschlüssel (Pfad + Größe + Änderungszeitpunkt) zwischengespeichert.

Cache-Datei:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

Während der Erkennung enthalten die Logs Prüffortschritts- und Ergebnismeldungen wie:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

Migration von Version 1 (Volatility2)

Siehe docs/migration.md für einen vollständigen Vergleich.

Wesentliche Änderungen:

• Volatility3-Profilidentifikation — AutoTimeliner führt eine bestmögliche Betriebssystem-/Profilabfrage über Volatility3-Plugins durch.
• Automatische Symboltabelleneinrichtung — Windows-/macOS-/Linux-Symbolpakete werden automatisch heruntergeladen und installiert.
• -p / --customprofile ist veraltet — wird stillschweigend ignoriert.
• mftparser → mftscan — gleiche Daten, neuer Plugin-Name.
• Keine Body-Dateien werden auf die Festplatte geschrieben — Daten fließen direkt von Python zur CSV.
• mactime ist jetzt optional — verwenden Sie --use-mactime für den alten Body-Datei-Workflow.

Entwicklung

poetry install
poetry run pytest

Lizenz

MIT — siehe LICENSE.

Autor

Andrea Fortuna — [email protected] — andreafortuna.org