AutoTimeliner

स्वचालित रूप से वाष्पशील मेमोरी डंप से फोरेंसिक टाइमलाइन निकालें।

AutoTimeliner विंडोज, लिनक्स और macOS मेमोरी इमेज के विरुद्ध कई Volatility3 प्लगइन्स चलाता है, फिर उनके आउटपुट को एकल, सॉर्टेड CSV टाइमलाइन में मर्ज करता है:

सामान्य टाइमलाइन प्लगइन

विंडोज प्लगइन सेट

लिनक्स प्लगइन सेट

macOS प्लगइन सेट

विंडोज प्रक्रिया और निष्पादन विश्लेषण

विंडोज नेटवर्क विश्लेषण

विंडोज मैलवेयर डिटेक्शन

अतिरिक्त विंडोज प्लगइन्स (वैकल्पिक)

आवश्यकताएं

AutoTimeliner मेमोरी इमेज परिवार को स्वचालित रूप से पहचानता है और विंडोज, लिनक्स या macOS के लिए उपयुक्त प्लगइन सेट सक्षम करता है। तेज़ स्टार्टअप के लिए आप स्वचालित पहचान छोड़ने हेतु --os-hint पास कर सकते हैं।

स्थापना

Poetry के साथ (अनुशंसित)

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

pip के साथ

pip install .

उपयोग

autotimeliner -f IMAGEFILE [-t TIMEFRAME] [-o OUTPUT] [options]

विकल्प

उदाहरण

एकल इमेज से पूर्ण टाइमलाइन निकालें:

autotimeliner -f TargetServer.raw

किसी विशिष्ट समय विंडो में फ़िल्टर करें:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

एक निर्देशिका में सभी .raw फ़ाइलों को प्रोसेस करें, आउटपुट पथ निर्दिष्ट करें:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

जब आप पहले से डंप OS जानते हों तो स्टार्टअप तेज़ करें:

autotimeliner -f TargetServer.raw --os-hint windows

सुविधा के लिए macOS उपनाम मानों का उपयोग करें:

autotimeliner -f MacbookCapture.mem --os-hint darwin

केवल timeliner और shellbags चलाएं (MFT स्कैन छोड़ें):

autotimeliner -f TargetServer.raw --skip-mftscan

पूर्ण फोरेंसिक स्कैन (विंडोज प्लगइन सेट + वैकल्पिक विस्तारित प्लगइन्स):

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

त्वरित मैलवेयर-केंद्रित स्कैन:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

लिनक्स-केंद्रित टाइमलाइन संग्रह (स्वचालित रूप से linux प्लगइन्स सक्षम करता है):

autotimeliner -f UbuntuWorkstation.mem

macOS-केंद्रित टाइमलाइन संग्रह (स्वचालित रूप से macOS प्लगइन्स सक्षम करता है):

autotimeliner -f MacbookCapture.mem

आउटपुट

आउटपुट CSV में निम्नलिखित कॉलम होते हैं:

पहचान प्रदर्शन

AutoTimeliner में पहचान समय कम करने के लिए कई अनुकूलन शामिल हैं:

• --os-hint पूरी तरह से स्वचालित OS जांच को बायपास करता है।
• फ़ाइलनाम संकेतों (उदाहरण के लिए linux, ubuntu, macos) का उपयोग करके जांच क्रम अनुकूलित होता है।
• पहचान परिणाम प्रति इमेज कुंजी (path + size + mtime) पर कैश होते हैं।

कैश फ़ाइल:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

पता लगाने के दौरान, लॉग में जांच प्रगति और परिणाम संदेश शामिल होते हैं जैसे:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

v1 (Volatility2) से माइग्रेशन

पूर्ण तुलना के लिए देखें docs/migration.md।

मुख्य बदलाव:

• Volatility3 प्रोफ़ाइल पहचान — AutoTimeliner Volatility3 प्लगइन्स के माध्यम से सर्वोत्तम-प्रयास OS/प्रोफ़ाइल जांच करता है।
• स्वचालित प्रतीक तालिका सेटअप — विंडोज/macOS/लिनक्स प्रतीक पैक स्वचालित रूप से डाउनलोड और इंस्टॉल होते हैं।
• -p / --customprofile अब अमान्य है — इसे चुपचाप अनदेखा किया जाता है।
• mftparser → mftscan — समान डेटा, नया प्लगइन नाम।
• डिस्क पर कोई बॉडी फ़ाइल नहीं लिखी जाती — डेटा Python के माध्यम से सीधे CSV में प्रवाहित होता है।
• mactime अब वैकल्पिक है — पुराने बॉडी-फ़ाइल वर्कफ़्लो के लिए --use-mactime का उपयोग करें।

विकास

poetry install
poetry run pytest

लाइसेंस

MIT — देखें LICENSE।

लेखक

Andrea Fortuna — [email protected] — andreafortuna.org