IRFlow Timeline

Native forensische Timeline-Analyse für macOS. Importieren, durchsuchen und untersuchen Sie Artefakte aus EVTX, CSV, XLSX, Plaso, $MFT, $J und lokalen KI-Assistenten — mit AI Secret Hunt und den Analysen, die DFIR-Profis tatsächlich benötigen. Entwickelt mit Electron + SQLite, um Millionen von Zeilen mühelos zu verarbeiten.

Inspiriert von Eric Zimmermans Timeline Explorer für Windows.

Hauptfunktionen

• AI Artifacts — Lokale KI-Verläufe von Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf und Continue in einem einzigen Timeline-Tab sammeln; AI Secret Hunt für exponierte Schlüssel, Token und Anmeldedaten
• Raw NTFS Artifact Import — Direkter Import von $MFT und $UsnJrnl ($J) mit vollständiger Pfadrekonstruktion, SI/FN-Zeitstempeln und Zuordnung der Änderungsgründe
• Ransomware Analytics — Automatisierte Schadensanalyse aus $MFT-Daten: Erkennung von Massenumbenennungen, entropiebasierte Analyse von Dateierweiterungen, Identifizierung von Lösegeldnotizen und zeitliche Clusterbildung
• VirusTotal Enrichment — IOC-Abgleich mit Sammelabfragen bei VirusTotal, Extraktion von Malware-Familien, Bewertungs-Badges, Pivotierung von Beziehungen und lokale Zwischenspeicherung
• Process Inspector — Analyse von Eltern-Kind-Prozessbäumen mit über 340 MITRE-ATT&CK-Erkennungsregeln
• Lateral Movement Tracker — Visualisierung von Netzwerk-Logons und RDP-Sitzungen als interaktive kraftgerichtete Graphen
• RDP Bitmap Cache Recovery — Wiederherstellung von bcache*.bmc- und cache????.bin-Artefakten mit den gebündelten bmc-tools, Bildvorschau und Export von Beweispaketen
• Persistence Analyzer — Über 30 Persistenztechniken mit Erkennung von Kontenketten, technikübergreifender Korrelation und Reassemblierung von PowerShell-4104-Skriptblöcken
• IOC Matching — Über 17 Indikatorkategorien mit automatischem Defanging, Inline-Hervorhebung und CSV/HTML-Export mit VirusTotal-Anreicherungsdaten

Die vollständige Funktionsliste und Dokumentation finden Sie in der IRFlow Timeline-Dokumentation.

Aus dem Quellcode erstellen

Voraussetzungen (nur für Entwickler):

• Node.js 18+: brew install node
• Xcode-CLI-Tools: xcode-select --install (für die Kompilierung nativer Module)
• macOS 12+ (Monterey oder neuer)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Development (hot-reload)
npm run dev

# Build + launch
npm run start

# Package as universal DMG
npm run dist:universal

Ausgabe in release/.

Danksagungen & Anerkennungen

Inspiriert von Eric Zimmermans Timeline Explorer.

Open-Source-Projekte

DFIR-Community

• Eric Zimmerman -- Timeline Explorer für Windows, die ursprüngliche Inspiration für dieses Projekt
• log2timeline/Plaso -- Super-Timeline-Erzeugungsframework von Kristinn Gudjonsson und Mitwirkenden
• SANS DFIR -- DFIR-Schulungen und Community-Ressourcen
• The DFIR Report -- Berichte zur Analyse realer Einbrüche, die die Muster zur Bedrohungserkennung beeinflusst haben
• CyberCX -- NTFS-$UsnJrnl-Forschung, die die Implementierung des $J-Parsings beeinflusst hat

Beta-Tester

Dank an die folgenden Personen für das Testen und ihr Feedback:

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

Lizenz

Apache-2.0