IRFlow Timeline

IRFlow Timeline ホーム画面 — プロセスインスペクタ、ラテラルムーブメント、永続化、Sigma、AI アーティファクト収集、マスターファイルテーブル、USN ジャーナル、開く＆探索を備えた機能ランチャー

macOS ネイティブのフォレンジックタイムライン解析。EVTX、CSV、XLSX、Plaso、$MFT、$J、ローカル AI アシスタントアーティファクトをインポート・検索・調査 — AI Secret Hunt と DFIR プロフェッショナルが実際に必要とする分析機能を搭載。Electron + SQLite 上に構築され、数百万行のデータも難なく処理します。

Eric Zimmerman の Windows 用 Timeline Explorer に着想を得ています。

主な機能

AI アーティファクト — Claude Code、Codex、ChatGPT Desktop、Gemini CLI、Cursor、Copilot、Windsurf、Continue からローカル AI 履歴を収集し、1 つのタイムラインタブに統合。AI Secret Hunt で露出したキー、トークン、認証情報を検出
生 NTFS アーティファクトのインポート — $MFT と $UsnJrnl（$J）を直接取り込み、完全なパス再構築、SI/FN タイムスタンプ、変更理由のマッピングに対応
ランサムウェア分析 — $MFT データからの自動影響分析：一括リネーム検出、エントロピーベースの拡張子分析、身代金要求書の特定、時間的クラスタリング
VirusTotal エンリッチメント — 一括 VT ルックアップによる IOC マッチング、マルウェアファミリー抽出、判定バッジ、リレーションシップのピボット、ローカルキャッシュ
プロセスインスペクタ — 340 以上の MITRE ATT&CK 検出ルールによる親子プロセスツリー分析
ラテラルムーブメントトラッカー — ネットワークログオンと RDP セッションをインタラクティブな力指向グラフとして可視化
RDP ビットマップキャッシュリカバリ — バンドルされた bmc-tools で bcache*.bmc と cache????.bin アーティファクトを復元、画像プレビュー、証跡パッケージのエクスポート
永続化アナライザ — アカウントチェーン検出、技術横断的な相関分析、PowerShell 4104 スクリプトブロックの再構築を備えた 30 以上の永続化テクニック
IOC マッチング — 自動デファング、インラインハイライト、VT エンリッチメントデータ付き CSV/HTML エクスポートに対応した 17 以上のインジケータカテゴリ

完全な機能一覧とドキュメントについては、IRFlow Timeline ドキュメント をご覧ください。

ソースからビルド

前提条件（開発者のみ）：

Node.js 18 以降: brew install node
Xcode CLI ツール: xcode-select --install（ネイティブモジュールのコンパイル用）
macOS 12 以降（Monterey 以降）

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Development (hot-reload)
npm run dev

# Build + launch
npm run start

# Package as universal DMG
npm run dist:universal

出力は release/ に生成されます。

クレジットと謝辞

Eric Zimmerman の Timeline Explorer に着想を得ています。

オープンソースプロジェクト

プロジェクト	用途	リンク
Electron	アプリケーションフレームワーク	electron/electron
better-sqlite3	WAL モード、FTS5 対応の高性能 SQLite エンジン	WiseLibs/better-sqlite3
@ts-evtx/core	ネイティブ Windows EVTX イベントログ解析	NickSmet/ts-evtx
Plaso (log2timeline)	フォレンジックタイムライン生成（Plaso SQLite 出力をインポート）	log2timeline/plaso
ExcelJS	XLSX ストリーミングリーダー	exceljs/exceljs
SheetJS (xlsx)	XLSX 解析	SheetJS/sheetjs
csv-parser	CSV/TSV ストリーミングパーサー	mafintosh/csv-parser
React	UI レンダリング	facebook/react
Vite	ビルドツールとホットリロード	vitejs/vite
VitePress	ドキュメントサイト	vuejs/vitepress
electron-builder	macOS DMG パッケージング	electron-userland/electron-builder
bmc-tools	RDP ビットマップキャッシュリカバリ	ANSSI-FR/bmc-tools

DFIR コミュニティ

Eric Zimmerman -- このプロジェクトの元となった Windows 用 Timeline Explorer
log2timeline/Plaso -- Kristinn Gudjonsson 氏とコントリビューターによるスーパータイムライン生成フレームワーク
SANS DFIR -- DFIR トレーニングとコミュニティリソース
The DFIR Report -- 脅威検出パターンの参考となった実世界の侵入分析レポート
CyberCX -- $J 解析実装の参考となった NTFS $UsnJrnl リサーチ

ベータテスター

以下の方々にテストとフィードバックをいただき、感謝します：

ライセンス

Apache-2.0