forensic-timeliner

एक उच्च-गति फोरेंसिक प्रोसेसिंग इंजन जो DFIR अन्वेषकों के लिए बनाया गया है। शीर्ष-स्तरीय ट्राइएज उपकरणों के CSV आउटपुट को अंतर्निहित फ़िल्टरिंग, आर्टिफैक्ट डिटेक्शन, दिनांक फ़िल्टरिंग, कीवर्ड टैगिंग और डिडुप्लिकेशन के साथ एक एकीकृत मिनी टाइमलाइन में त्वरित रूप से समेकित करें।

रिलीज़

Forensic Timeliner v2.3 – रिलीज़ नोट्स

नई विशेषताएँ

• क्रॉस-प्लेटफ़ॉर्म ब्राउज़र इतिहास पार्सिंग

  • नया ForensicWebHistoryParser — forensic-webhistory (Rust टूल) से लाइव ब्राउज़र इतिहास CSV पार्स करता है
  • Chrome, Firefox, Safari, Brave, Edge, Opera, Vivaldi और Arc का समर्थन करता है
  • गतिविधि डिटेक्शन: खोज क्वेरी, डाउनलोड और फ़ाइल खोलने की घटनाएँ विवरण में स्वचालित रूप से समृद्ध की जाती हैं
  • अन्य CSV प्रारूपों से अलग करने के लिए हेडर सत्यापन

• पुनर्प्राप्त ब्राउज़र इतिहास समर्थन

  • नया ForensicWebHistoryCarvedParser — पुनर्प्राप्त/हटाई गई ब्राउज़र प्रविष्टियों को पार्स करता है
  • कम कॉलम सेट के साथ कर्व्ड SQLite डेटाबेस पंक्तियों को संभालता है
  • पुनर्प्राप्ति स्रोत की पहचान करता है (जैसे, "Carved from WAL", "Carved from Journal")

• कोर लाइब्रेरी रीफैक्टरिंग

  • सभी पार्सर, मॉडल, उपयोगिताएँ और इंटरफेस को ForensicTimeliner.Core क्लास लाइब्रेरी में निकाला गया
  • कोड दोहराव के बिना वेब प्लेटफ़ॉर्म द्वारा पुन: उपयोग सक्षम करता है
  • सभी मौजूदा पार्सर (EZ Tools, Hayabusa, Chainsaw, Nirsoft, Axiom) को Core में स्थानांतरित किया गया

बग फिक्स

• दिनांक फ़िल्टरिंग प्रदर्शन ठीक किया गया — RowsFilteredByDate गलत तरीके से गणना की जा रही थी जब कोई दिनांक फ़िल्टरिंग लागू नहीं की गई थी, जिससे सभी पंक्तियाँ "filtered" के रूप में दिखाई दे रही थीं
• डिडुप्लिकेशन काउंटर आरंभीकरण ठीक किया गया (RowCountAfterDedup)

अन्य परिवर्तन

• लाइसेंस CC BY-NC 4.0 में अपडेट किया गया
• स्क्रिप्टिंग और स्वचालन पाइपलाइनों के लिए --NoPrompt फ्लैग जोड़ा गया

विषय-सूची

• मुख्य विशेषताएँ
• त्वरित प्रारंभ
• डाउनलोड
• स्क्रीनशॉट
• कमांड लाइन तर्क
• टाइमलाइन आउटपुट
• YAML कॉन्फ़िग
• टूल दस्तावेज़ीकरण
• उपयोग गाइड
• आर्टिफैक्ट और आउटपुट समर्थन तालिका
• लाइसेंस

मुख्य विशेषताएँ

• निम्न से CSV आउटपुट संयोजित करें

  • EZ Tools / Kape
  • Axiom
  • Chainsaw
  • Hayabusa
  • Nirsoft
  • forensic-webhistory (क्रॉस-प्लेटफ़ॉर्म ब्राउज़र इतिहास)
  • आउटपुट डेटा को एक एकीकृत टाइमलाइन में

• YAML के साथ ट्राइएज निर्देशिकाओं से स्वचालित CSV खोज (सभी कॉन्फ़िगर करने योग्य)

  • YAML फ़ाइलें पहले से ही डिफ़ॉल्ट आउटपुट वाले टूल के लिए डिफ़ॉल्ट नामकरण का उपयोग करती हैं
  • Hayabusa जैसे टूल के लिए जहाँ आप फ़ाइल आउटपुट नाम सेट कर सकते हैं, आपको फ़ाइल को Hayabusa.csv का कुछ भिन्न रूप नाम देना चाहिए और उसे Hayabusa नामक फ़ोल्डर में रखना चाहिए
  • केवल वह आधार निर्देशिका प्रदान करें जहाँ ट्राइएज आउटपुट रहता है और टूल निम्न के आधार पर CSV फ़ाइलों को खोजने का प्रयास करेगा
  • फ़ाइल नाम
  • फ़ोल्डर नाम
  • फ़ाइल हेडर
  • इवेंट लॉग के लिए Channel\Provider फ़िल्टर
  • MFT के लिए फ़ाइल एक्सटेंशन और पथ फ़िल्टर

• Timeline Explorer के साथ उपयोग के लिए कीवर्ड टैगिंग के साथ टाइमलाइन संवर्धन। CSV आउटपुट के लिए कीवर्ड खोज के आधार पर स्वचालित रूप से TLE सत्र फ़ाइल बनाएँ।

• Timeline Explorer जैसे टूल के साथ संगतता के लिए RFC-4180-अनुरूप निर्यात

• दिनांक फ़िल्टरिंग और डिडुप्लिकेशन नियंत्रण

• इंटरैक्टिव सेटअप और YAML खोज पूर्वावलोकन

त्वरित प्रारंभ

TL;DR! कुछ Kape/EZ फोरेंसिक आउटपुट प्राप्त करें

exe डाउनलोड करें और चलाएँ:

ForensicTimeliner.exe --Interactive

ForensicTimeliner.exe --BaseDir C:\triage\hostname --ALL --OutputFile C:\timeline.csv

.\ForensicTimeliner.exe --ProcessEZ --BaseDir "C:\Users\admin0x\Desktop\sample_data\host_t800" --OutputFile "C:\Users\admin0x\Desktop\test" --ExportFormat csv --EnableTagger

• अपनी आउटपुट निर्देशिका से TLE सत्र फ़ाइल खोलें। यदि आप फ़ाइल को स्थानांतरित करते हैं तो आपको सत्र फ़ाइल पथ अपडेट करना होगा।

• अपनी CSV फ़ाइलों के लिए डिफ़ॉल्ट नामकरण का उपयोग करें और सुनिश्चित करें कि वे आपके द्वारा सेट की गई आधार निर्देशिका के अंदर हैं। फ़ाइल हेडर के आधार पर CSV फ़ाइलों को स्वचालित रूप से खोजने के लिए एक फ़ॉलबैक है, या YAML सेटिंग्स में फ़ाइल नाम समायोजित करें।

• कीवर्ड टैगिंग के आधार पर Timeline Explorer सत्र फ़ाइल बनाने के लिए --EnableTagger फ़ीचर कमांड लाइन का उपयोग करें। config\keywords\keywords.yaml में कीवर्ड समायोजित करें।

डाउनलोड

नवीनतम रिलीज़: v2.3

परीक्षण उद्देश्यों के लिए नमूना डेटा यहाँ डाउनलोड करें।

नमूना डेटा

स्क्रीनशॉट

इंटरैक्टिव मेनू

Timeline Explorer समर्थन

• नवीनतम प्लगइन फ़ाइलों के साथ TLE में स्वचालित रंग लागू किया गया
• कीवर्ड के आधार पर टैग की गई पंक्तियों के साथ स्वचालित रूप से TLE सत्र फ़ाइल बनाएँ
  • Keywords कॉन्फ़िग फ़ाइल संपादित करें और अपने कीवर्ड जोड़ें
  • कमांड लाइन से --EnableTagger फ्लैग का उपयोग करके ForensicTimeliner.exe चलाएँ

कमांड लाइन तर्क

टाइमलाइन आउटपुट फ़ील्ड संरचना

🧾 टाइमलाइन आउटपुट फ़ील्ड संरचना सभी आउटपुट RFC-4180-अनुरूप CSV के रूप में निर्यात किए जाते हैं और Timeline Explorer, Excel, या अन्य फोरेंसिक टूल में समीक्षा के लिए तैयार होते हैं।

प्रत्येक टाइमलाइन प्रविष्टि में निम्नलिखित फ़ील्ड शामिल हैं:

DateTime,TimestampInfo,ArtifactName,Tool,Description,DataDetails,DataPath,FileExtension,EventId,User,Computer,FileSize,IPAddress,SourceAddress,DestinationAddress,SHA1,Count,EvidencePath

YAML कॉन्फ़िग

टाइमलाइन पार्सर को प्रति-आर्टिफैक्ट YAML परिभाषाओं का उपयोग करके अनुकूलित किया जा सकता है। ये नियंत्रित करते हैं:

• आर्टिफैक्ट खोज (filename_patterns, foldername_patterns, आदि)
• फ़िल्टरिंग (event_channel_filters, provider_filters, paths, extensions)
• टाइमस्टैम्प मैपिंग (timestamp_fields) ** केवल MFT
• वैकल्पिक ओवरराइड (ignore_filters) ** MFT और इवेंट लॉग
  • MFT और इवेंट लॉग के लिए सभी फ़िल्टर छोड़ने हेतु ignore_filters: true सेट करें।

📚 टूल आउटपुट प्रोसेसिंग दस्तावेज़ीकरण

प्रत्येक समर्थित टूल के लिए विस्तृत दस्तावेज़ीकरण जो दिखाता है कि आर्टिफैक्ट कैसे पार्स किए जाते हैं और एकीकृत टाइमलाइन प्रारूप में मैप किए जाते हैं:

समर्थित टूल

• EZ Tools - व्यापक Windows आर्टिफैक्ट विश्लेषण (Activity Timeline, Amcache, AppCompatCache, Event Logs, JumpLists, LNK Files, MFT, Prefetch, Registry, Shellbags, UserAssist, और अधिक)
• Hayabusa - Sigma-आधारित Windows इवेंट लॉग विश्लेषण और खतरे की खोज
• Chainsaw - MITRE ATT&CK केंद्रित इवेंट लॉग विश्लेषण (Account Tampering, Credential Access, Lateral Movement, Persistence, PowerShell, और अधिक)
• Axiom - Magnet Forensics व्यापक आर्टिफैक्ट निष्कर्षण (Web History, Prefetch, Registry, File System, और अधिक)
• Nirsoft - क्रॉस-ब्राउज़र इतिहास विश्लेषण और Windows उपयोगिता आर्टिफैक्ट
• ब्राउज़र इतिहास (forensic-webhistory) - Chrome, Firefox, Safari, Brave, Edge, Opera, Vivaldi और Arc के लिए SQLite कार्विंग के साथ क्रॉस-प्लेटफ़ॉर्म ब्राउज़र इतिहास निष्कर्षण

प्रत्येक दस्तावेज़ीकरण पृष्ठ में शामिल हैं:

• फ़ील्ड मैपिंग तालिकाएँ - स्रोत CSV फ़ील्ड टाइमलाइन प्रारूप में कैसे मैप होते हैं
• विशेष व्यवहार - अद्वितीय प्रोसेसिंग तर्क और विशेषताएँ
• अपेक्षित CSV प्रारूप - आवश्यक इनपुट प्रारूप और संरचना
• एकीकरण नोट्स - इष्टतम उपयोग और फ़ाइल संगठन के लिए युक्तियाँ

इवेंट लॉग फ़िल्टर

अपने YAML कॉन्फ़िगरेशन में प्रति चैनल EventChannelFilters को नीचे दिखाए अनुसार परिभाषित करें। आवश्यकता अनुसार संपूर्ण इवेंट लॉग शामिल करने के लिए [] का समर्थन है।

event_channel_filters:
  Application: []
  Microsoft-Windows-PowerShell/Operational: [4100, 4103, 4104]
  Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational: [72, 98, 104, 131, 140]
  Microsoft-Windows-TerminalServices-LocalSessionManager/Operational: [21, 22]
  Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational: [261, 1149]
  Microsoft-Windows-TaskScheduler/Operational: [106, 140, 141, 129, 200, 201]
  Microsoft-Windows-WinRM/Operational: [169]
  SentinelOne/Operational: [1, 31, 55, 57, 67, 68, 77, 81, 93, 97, 100, 101, 104, 110]
  Security: [1102, 4624, 4625, 4648, 4698, 4702, 4720, 4722, 4723, 4724, 4725, 4726, 4732, 4756]
  System: [7045]

provider_filters:
    edgeupdate: [0]
    SentinelHelperService: [0]
    brave: [0]
    Edge: [256]
    SentinelOne: [1, 31, 55, 57, 67, 68, 77, 81] 

MFT प्रोसेसिंग और फ़िल्टरिंग MFT पार्सिंग में स्वचालित टाइमस्टैम्प सामान्यीकरण और एक्सटेंशन/पथ फ़िल्टरिंग शामिल है।

डिफ़ॉल्ट रूप से, केवल Created0x10 टाइमस्टैम्प शामिल किए जाते हैं ताकि फ़ाइल निर्माण घटनाओं पर ध्यान केंद्रित किया जा सके और समग्र टाइमलाइन आकार सीमित रहे।

डिफ़ॉल्ट फ़िल्टर:

DEFAULT_EXTENSIONS = [".identifier", ".exe", ".ps1", ".zip", ".rar", ".7z"]
DEFAULT_PATHS = ["Users"]

आर्टिफैक्ट और आउटपुट समर्थन तालिका

लाइसेंस

Creative Commons Attribution-NonCommercial 4.0 International (CC BY-NC 4.0)