irflow-timeline v1.0.9
Análisis de línea de tiempo DFIR para macOS — visor basado en SQLite para archivos CSV, TSV, XLSX, EVTX, Plaso, $MFT y $J con AI Artifacts, AI Secret Hunt, inspección de procesos, seguimiento de movimiento lateral, detección de persistencia y enriquecimiento de VirusTotal.
IRFlow Timeline
Análisis forense de líneas de tiempo nativo para macOS. Importa, busca e investiga artefactos EVTX, CSV, XLSX, Plaso, $MFT, $J y de asistentes de IA locales — con AI Secret Hunt y los análisis que los profesionales de DFIR realmente necesitan. Construido sobre Electron + SQLite para manejar millones de filas sin despeinarse.
Inspirado en Timeline Explorer de Eric Zimmerman para Windows.
Características principales
- AI Artifacts — Recopila el historial de IA local de Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf y Continue en una sola pestaña de línea de tiempo; AI Secret Hunt para claves, tokens y credenciales expuestos
- Raw NTFS Artifact Import — Ingestión directa de
$MFTy$UsnJrnl($J) con reconstrucción completa de rutas, marcas de tiempo SI/FN y mapeo de razones de cambio - Ransomware Analytics — Análisis automatizado de impacto a partir de los datos de
$MFT: detección de renombrados masivos, análisis de extensiones basado en entropía, identificación de notas de rescate y agrupamiento temporal - VirusTotal Enrichment — Coincidencia de IOC con consultas VT masivas, extracción de familias de malware, insignias de veredicto, pivoteo de relaciones y caché local
- Process Inspector — Análisis del árbol de procesos padre-hijo con más de 340 reglas de detección de MITRE ATT&CK
- Lateral Movement Tracker — Visualización de inicios de sesión de red y sesiones RDP como grafos interactivos dirigidos por fuerza
- RDP Bitmap Cache Recovery — Recupera artefactos
bcache*.bmcycache????.bincon bmc-tools incluido, previsualiza imágenes y exporta paquetes de evidencia - Persistence Analyzer — Más de 30 técnicas de persistencia con detección de cadenas de cuentas, correlación entre técnicas y reensamblado de bloques de script de PowerShell 4104
- IOC Matching — Más de 17 categorías de indicadores con auto-defanging, resaltado en línea y exportación CSV/HTML con datos de enriquecimiento de VT
Para la lista completa de funciones y la documentación, visita la documentación de IRFlow Timeline.
Compilación desde el código fuente
Requisitos previos (solo para desarrolladores):
- Node.js 18+:
brew install node - Xcode CLI tools:
xcode-select --install(para la compilación de módulos nativos) - macOS 12+ (Monterey o posterior)
git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3
# Development (hot-reload)
npm run dev
# Build + launch
npm run start
# Package as universal DMG
npm run dist:universal
Salida en release/.
Créditos y agradecimientos
Inspirado en Timeline Explorer de Eric Zimmerman.
Proyectos de código abierto
| Proyecto | Uso | Enlace |
|---|---|---|
| Electron | Framework de aplicación | electron/electron |
| better-sqlite3 | Motor SQLite de alto rendimiento con modo WAL y FTS5 | WiseLibs/better-sqlite3 |
| @ts-evtx/core | Análisis nativo de registros de eventos EVTX de Windows | NickSmet/ts-evtx |
| Plaso (log2timeline) | Generación de líneas de tiempo forenses (importamos la salida SQLite de Plaso) | log2timeline/plaso |
| ExcelJS | Lector de streaming de XLSX | exceljs/exceljs |
| SheetJS (xlsx) | Análisis de XLSX | SheetJS/sheetjs |
| csv-parser | Analizador de streaming de CSV/TSV | mafintosh/csv-parser |
| React | Renderizado de interfaz de usuario | facebook/react |
| Vite | Herramientas de compilación y recarga en caliente | vitejs/vite |
| VitePress | Sitio de documentación | vuejs/vitepress |
| electron-builder | Empaquetado de DMG para macOS | electron-userland/electron-builder |
| bmc-tools | Recuperación de RDP Bitmap Cache | ANSSI-FR/bmc-tools |
Comunidad DFIR
- Eric Zimmerman -- Timeline Explorer para Windows, la inspiración original de este proyecto
- log2timeline/Plaso -- Framework de generación de superlíneas de tiempo de Kristinn Gudjonsson y colaboradores
- SANS DFIR -- Formación y recursos comunitarios de DFIR
- The DFIR Report -- Informes de análisis de intrusiones reales que sirvieron de base para los patrones de detección de amenazas
- CyberCX -- Investigación de NTFS $UsnJrnl que sirvió de base para la implementación del análisis de $J
Probadores beta
Agradecimientos a las siguientes personas por probar y aportar sus comentarios:
Licencia
Apache-2.0