IRFlow Timeline

Analisi nativa di timeline forensi su macOS. Importa, cerca e indaga artefatti EVTX, CSV, XLSX, Plaso, $MFT, $J e assistenti AI locali — con AI Secret Hunt e le analisi di cui i professionisti DFIR hanno realmente bisogno. Costruito su Electron + SQLite per gestire milioni di righe senza alcuno sforzo.

Ispirato da Timeline Explorer per Windows di Eric Zimmerman.

Funzionalità principali

• AI Artifacts — Raccolta della cronologia AI locale da Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf e Continue in un'unica scheda timeline; AI Secret Hunt per chiavi, token e credenziali esposti
• Raw NTFS Artifact Import — Ingestione diretta di $MFT e $UsnJrnl ($J) con ricostruzione completa dei percorsi, timestamp SI/FN e mappatura dei motivi di modifica
• Ransomware Analytics — Analisi automatizzata dell'impatto dai dati $MFT: rilevamento di rinomine di massa, analisi delle estensioni basata sull'entropia, identificazione delle note di riscatto e clustering temporale
• VirusTotal Enrichment — Correlazione IOC con ricerche VT in batch, estrazione delle famiglie di malware, badge di verdetto, pivot sulle relazioni e caching locale
• Process Inspector — Analisi dell'albero dei processi padre-figlio con oltre 340 regole di rilevamento MITRE ATT&CK
• Lateral Movement Tracker — Visualizzazione dei logon di rete e delle sessioni RDP come grafi interattivi force-directed
• RDP Bitmap Cache Recovery — Recupero degli artefatti bcache*.bmc e cache????.bin con bmc-tools integrato, anteprima delle immagini ed esportazione di pacchetti di evidenze
• Persistence Analyzer — Oltre 30 tecniche di persistenza con rilevamento delle catene di account, correlazione tra tecniche e riassemblaggio dei blocchi di script PowerShell 4104
• IOC Matching — Oltre 17 categorie di indicatori con auto-defang, evidenziazione inline, esportazione CSV/HTML con dati di arricchimento VT

Per l'elenco completo delle funzionalità e la documentazione, visita IRFlow Timeline Docs.

Compilazione dal sorgente

Prerequisiti (solo per sviluppatori):

• Node.js 18+: brew install node
• Strumenti CLI di Xcode: xcode-select --install (per la compilazione dei moduli nativi)
• macOS 12+ (Monterey o successivo)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Development (hot-reload)
npm run dev

# Build + launch
npm run start

# Package as universal DMG
npm run dist:universal

L'output è in release/.

Crediti e Ringraziamenti

Ispirato da Timeline Explorer di Eric Zimmerman.

Progetti Open Source

Comunità DFIR

• Eric Zimmerman -- Timeline Explorer per Windows, l'ispirazione originale di questo progetto
• log2timeline/Plaso -- Framework di generazione di super timeline di Kristinn Gudjonsson e collaboratori
• SANS DFIR -- Formazione DFIR e risorse per la community
• The DFIR Report -- Report di analisi di intrusioni reali che hanno informato i modelli di rilevamento delle minacce
• CyberCX -- Ricerca su NTFS $UsnJrnl che ha informato l'implementazione del parsing di $J

Beta Tester

Grazie alle seguenti persone per i test e il feedback:

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

Licenza

Apache-2.0