AutoTimeliner

Extrae automágicamente una línea de tiempo forense de volcados de memoria volátil.

AutoTimeliner ejecuta múltiples plugins de Volatility3 contra imágenes de memoria de Windows, Linux y macOS, y luego fusiona sus salidas en una única línea de tiempo CSV ordenada:

Plugin de línea de tiempo genérico

Conjunto de plugins para Windows

Conjunto de plugins para Linux

Conjunto de plugins para macOS

Análisis de procesos y ejecución en Windows

Análisis de red en Windows

Detección de malware en Windows

Plugins adicionales para Windows (opt-in)

Requisitos

AutoTimeliner identifica automáticamente la familia de la imagen de memoria y habilita el conjunto de plugins adecuado para Windows, Linux o macOS. Para un inicio más rápido, puede pasar --os-hint para omitir la detección automática.

Instalación

Con Poetry (recomendado)

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

Con pip

pip install .

Uso

autotimeliner -f ARCHIVO_IMAGEN [-t RANGO_TIEMPO] [-o SALIDA] [opciones]

Opciones

Ejemplos

Extraer una línea de tiempo completa de una sola imagen:

autotimeliner -f TargetServer.raw

Filtrar a una ventana de tiempo específica:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

Procesar todos los archivos .raw en un directorio, especificando la ruta de salida:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

Acelerar el inicio cuando ya se conoce el SO del volcado:

autotimeliner -f TargetServer.raw --os-hint windows

Usar valores alias de macOS por conveniencia:

autotimeliner -f MacbookCapture.mem --os-hint darwin

Ejecutar solo timeliner y shellbags (omitir escaneo MFT):

autotimeliner -f TargetServer.raw --skip-mftscan

Escaneo forense completo (conjunto de plugins de Windows + plugins extendidos opcionales):

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

Escaneo rápido enfocado en malware:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

Recolección de línea de tiempo enfocada en Linux (habilita automáticamente los plugins de Linux):

autotimeliner -f UbuntuWorkstation.mem

Recolección de línea de tiempo enfocada en macOS (habilita automáticamente los plugins de macOS):

autotimeliner -f MacbookCapture.mem

Salida

El CSV de salida tiene las siguientes columnas:

Rendimiento de identificación

AutoTimeliner incluye varias optimizaciones para reducir el tiempo de identificación:

• --os-hint omite por completo la prueba automática del SO.
• El orden de las pruebas se optimiza usando pistas del nombre del archivo (por ejemplo, linux, ubuntu, macos).
• Los resultados de identificación se almacenan en caché por clave de imagen (ruta + tamaño + mtime).

Archivo de caché:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

Durante la detección, los registros incluyen mensajes de progreso y resultado de las pruebas, como:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

Migración desde v1 (Volatility2)

Consulte docs/migration.md para una comparación completa.

Cambios clave:

• Identificación de perfil de Volatility3 — AutoTimeliner realiza una prueba de SO/perfil con el mejor esfuerzo mediante plugins de Volatility3.
• Configuración automática de tablas de símbolos — Los paquetes de símbolos de Windows/macOS/Linux se descargan e instalan automáticamente.
• -p / --customprofile está obsoleto — se ignora silenciosamente.
• mftparser → mftscan — mismos datos, nuevo nombre de plugin.
• No se escriben archivos body en el disco — los datos fluyen a través de Python directamente a CSV.
• mactime ahora es opcional — use --use-mactime para el flujo de trabajo antiguo de archivos body.

Desarrollo

poetry install
poetry run pytest

Licencia

MIT — consulte LICENSE.

Autor

Andrea Fortuna — [email protected] — andreafortuna.org