AutoTimeliner

Estrai automaticamente la timeline forense dai dump di memoria volatile.

AutoTimeliner esegue molteplici plugin di Volatility3 su immagini di memoria Windows, Linux e macOS, quindi unisce il loro output in un'unica timeline CSV ordinata:

Plugin Generico per Timeline

Set di Plugin Windows

Set di Plugin Linux

Set di Plugin macOS

Analisi dei Processi e dell'Esecuzione in Windows

Analisi di Rete in Windows

Rilevamento Malware in Windows

Plugin Aggiuntivi per Windows (facoltativi)

Requisiti

AutoTimeliner identifica automaticamente la famiglia dell'immagine di memoria e abilita il set di plugin appropriato per Windows, Linux o macOS. Per un avvio più rapido puoi passare --os-hint per saltare il rilevamento automatico.

Installazione

Con Poetry (consigliato)

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

Con pip

pip install .

Utilizzo

autotimeliner -f IMAGEFILE [-t TIMEFRAME] [-o OUTPUT] [options]

Opzioni

Esempi

Estrai una timeline completa da una singola immagine:

autotimeliner -f TargetServer.raw

Filtra su una finestra temporale specifica:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

Elabora tutti i file .raw in una directory, specificando il percorso di output:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

Accelera l'avvio quando già conosci il SO del dump:

autotimeliner -f TargetServer.raw --os-hint windows

Usa gli alias di macOS per comodità:

autotimeliner -f MacbookCapture.mem --os-hint darwin

Esegui solo timeliner e shellbags (salta la scansione MFT):

autotimeliner -f TargetServer.raw --skip-mftscan

Scansione forense completa (set di plugin Windows + plugin estesi opzionali):

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

Scansione rapida focalizzata su malware:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

Raccolta timeline focalizzata su Linux (abilita automaticamente i plugin Linux):

autotimeliner -f UbuntuWorkstation.mem

Raccolta timeline focalizzata su macOS (abilita automaticamente i plugin macOS):

autotimeliner -f MacbookCapture.mem

Output

Il CSV di output ha le seguenti colonne:

Performance di Identificazione

AutoTimeliner include diverse ottimizzazioni per ridurre il tempo di identificazione:

• --os-hint bypassa completamente il probing automatico del SO.
• L'ordine di probing è ottimizzato usando suggerimenti dal nome del file (ad esempio linux, ubuntu, macos).
• I risultati dell'identificazione vengono memorizzati nella cache per chiave immagine (path + size + mtime).

File di cache:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

Durante il rilevamento, i log includono messaggi di progresso del probing e risultati come:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

Migrazione da v1 (Volatility2)

Vedi docs/migration.md per un confronto completo.

Modifiche principali:

• Identificazione del profilo Volatility3 — AutoTimeliner esegue un probing best-effort del SO/profilo tramite i plugin Volatility3.
• Impostazione automatica delle tabelle dei simboli — I pacchetti di simboli Windows/macOS/Linux vengono scaricati e installati automaticamente.
• -p / --customprofile è deprecato — viene ignorato silenziosamente.
• mftparser → mftscan — stessi dati, nuovo nome del plugin.
• Nessun file body scritto su disco — i dati fluiscono attraverso Python direttamente nel CSV.
• mactime ora è opzionale — usa --use-mactime per il vecchio flusso di lavoro con file body.

Sviluppo

poetry install
poetry run pytest

Licenza

MIT — vedi LICENSE.

Autore

Andrea Fortuna — [email protected] — andreafortuna.org