IRFlow Timeline

Analyse native de timelines forensiques pour macOS. Importez, recherchez et examinez des artefacts EVTX, CSV, XLSX, Plaso, $MFT, $J et d'assistants IA locaux — avec AI Secret Hunt et les analyses dont les praticiens du DFIR ont réellement besoin. Conçu sur Electron + SQLite pour gérer des millions de lignes sans effort.

Inspiré par le Timeline Explorer d'Eric Zimmerman pour Windows.

Fonctionnalités clés

• AI Artifacts — Collectez l'historique d'IA locale de Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf et Continue dans un onglet de timeline unique ; AI Secret Hunt pour détecter les clés, jetons et identifiants exposés
• Import brut d'artefacts NTFS — Ingestion directe de $MFT et $UsnJrnl ($J) avec reconstruction complète des chemins, horodatages SI/FN et mappage des raisons de changement
• Analyses de ransomwares — Analyse automatisée de l'impact à partir des données $MFT : détection de renommages en masse, analyse d'extension basée sur l'entropie, identification des notes de rançon et regroupement temporel
• Enrichissement VirusTotal — Correspondance d'IOC avec recherches VT en masse, extraction des familles de malwares, badges de verdict, pivotement des relations et cache local
• Process Inspector — Analyse d'arborescence de processus parent-enfant avec plus de 340 règles de détection MITRE ATT&CK
• Lateral Movement Tracker — Visualisation des ouvertures de session réseau et RDP sous forme de graphes interactifs dirigés par les forces
• Récupération du cache bitmap RDP — Récupération des artefacts bcache*.bmc et cache????.bin grâce aux bmc-tools inclus, aperçu des images et export des packs de preuves
• Analyseur de persistance — Plus de 30 techniques de persistance avec détection de chaînes de comptes, corrélation inter-techniques et réassemblage des blocs de script PowerShell 4104
• Correspondance d'IOC — Plus de 17 catégories d'indicateurs avec auto-defanging, surlignage en ligne, export CSV/HTML avec les données d'enrichissement VT

Pour la liste complète des fonctionnalités et la documentation, consultez la documentation IRFlow Timeline.

Compilation à partir des sources

Prérequis (développeurs uniquement) :

• Node.js 18+ : brew install node
• Outils CLI Xcode : xcode-select --install (pour la compilation des modules natifs)
• macOS 12+ (Monterey ou version ultérieure)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Development (hot-reload)
npm run dev

# Build + launch
npm run start

# Package as universal DMG
npm run dist:universal

Sortie dans release/.

Crédits et remerciements

Inspiré par le Timeline Explorer d'Eric Zimmerman.

Projets open source

Communauté DFIR

• Eric Zimmerman -- Timeline Explorer pour Windows, l'inspiration originelle de ce projet
• log2timeline/Plaso -- Framework de génération de super timelines par Kristinn Gudjonsson et les contributeurs
• SANS DFIR -- Formation DFIR et ressources communautaires
• The DFIR Report -- Rapports d'analyse d'intrusions réelles ayant éclairé les modèles de détection des menaces
• CyberCX -- Recherche sur NTFS $UsnJrnl ayant éclairé l'implémentation de l'analyse de $J

Testeurs bêta

Merci aux personnes suivantes pour leurs tests et leurs retours :

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

Licence

Apache-2.0