irflow-timeline v1.0.9
Analisi della Timeline DFIR per macOS — visualizzatore basato su SQLite per file CSV, TSV, XLSX, EVTX, Plaso, $MFT e $J con AI Artifacts, AI Secret Hunt, ispezione dei processi, tracciamento dei movimenti laterali, rilevamento delle persistenza e arricchimento VirusTotal.
IRFlow Timeline
Analisi nativa di timeline forensi su macOS. Importa, cerca e indaga artefatti EVTX, CSV, XLSX, Plaso, $MFT, $J e assistenti AI locali — con AI Secret Hunt e le analisi di cui i professionisti DFIR hanno realmente bisogno. Costruito su Electron + SQLite per gestire milioni di righe senza alcuno sforzo.
Ispirato da Timeline Explorer per Windows di Eric Zimmerman.
Funzionalità principali
- AI Artifacts — Raccolta della cronologia AI locale da Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf e Continue in un'unica scheda timeline; AI Secret Hunt per chiavi, token e credenziali esposti
- Raw NTFS Artifact Import — Ingestione diretta di
$MFTe$UsnJrnl($J) con ricostruzione completa dei percorsi, timestamp SI/FN e mappatura dei motivi di modifica - Ransomware Analytics — Analisi automatizzata dell'impatto dai dati
$MFT: rilevamento di rinomine di massa, analisi delle estensioni basata sull'entropia, identificazione delle note di riscatto e clustering temporale - VirusTotal Enrichment — Correlazione IOC con ricerche VT in batch, estrazione delle famiglie di malware, badge di verdetto, pivot sulle relazioni e caching locale
- Process Inspector — Analisi dell'albero dei processi padre-figlio con oltre 340 regole di rilevamento MITRE ATT&CK
- Lateral Movement Tracker — Visualizzazione dei logon di rete e delle sessioni RDP come grafi interattivi force-directed
- RDP Bitmap Cache Recovery — Recupero degli artefatti
bcache*.bmcecache????.bincon bmc-tools integrato, anteprima delle immagini ed esportazione di pacchetti di evidenze - Persistence Analyzer — Oltre 30 tecniche di persistenza con rilevamento delle catene di account, correlazione tra tecniche e riassemblaggio dei blocchi di script PowerShell 4104
- IOC Matching — Oltre 17 categorie di indicatori con auto-defang, evidenziazione inline, esportazione CSV/HTML con dati di arricchimento VT
Per l'elenco completo delle funzionalità e la documentazione, visita IRFlow Timeline Docs.
Compilazione dal sorgente
Prerequisiti (solo per sviluppatori):
- Node.js 18+:
brew install node - Strumenti CLI di Xcode:
xcode-select --install(per la compilazione dei moduli nativi) - macOS 12+ (Monterey o successivo)
git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3
# Development (hot-reload)
npm run dev
# Build + launch
npm run start
# Package as universal DMG
npm run dist:universal
L'output è in release/.
Crediti e Ringraziamenti
Ispirato da Timeline Explorer di Eric Zimmerman.
Progetti Open Source
| Progetto | Utilizzo | Link |
|---|---|---|
| Electron | Framework applicativo | electron/electron |
| better-sqlite3 | Motore SQLite ad alte prestazioni con modalità WAL, FTS5 | WiseLibs/better-sqlite3 |
| @ts-evtx/core | Parsing nativo dei log eventi EVTX di Windows | NickSmet/ts-evtx |
| Plaso (log2timeline) | Generazione di timeline forensi (importiamo l'output SQLite di Plaso) | log2timeline/plaso |
| ExcelJS | Lettore streaming XLSX | exceljs/exceljs |
| SheetJS (xlsx) | Parsing XLSX | SheetJS/sheetjs |
| csv-parser | Parser streaming CSV/TSV | mafintosh/csv-parser |
| React | Rendering dell'interfaccia utente | facebook/react |
| Vite | Strumenti di build e hot-reload | vitejs/vite |
| VitePress | Sito di documentazione | vuejs/vitepress |
| electron-builder | Packaging DMG per macOS | electron-userland/electron-builder |
| bmc-tools | Recupero della cache bitmap RDP | ANSSI-FR/bmc-tools |
Comunità DFIR
- Eric Zimmerman -- Timeline Explorer per Windows, l'ispirazione originale di questo progetto
- log2timeline/Plaso -- Framework di generazione di super timeline di Kristinn Gudjonsson e collaboratori
- SANS DFIR -- Formazione DFIR e risorse per la community
- The DFIR Report -- Report di analisi di intrusioni reali che hanno informato i modelli di rilevamento delle minacce
- CyberCX -- Ricerca su NTFS $UsnJrnl che ha informato l'implementazione del parsing di $J
Beta Tester
Grazie alle seguenti persone per i test e il feedback:
Licenza
Apache-2.0