AutoTimeliner

揮発性メモリダンプからフォレンジックタイムラインを自動的に抽出します。

AutoTimeliner は、Windows、Linux、macOS のメモリイメージに対して複数の Volatility3 プラグインを実行し、その出力を単一のソートされた CSV タイムラインにマージします。

汎用タイムラインプラグイン

Windows プラグインセット

Linux プラグインセット

macOS プラグインセット

Windows プロセス & 実行解析

Windows ネットワーク解析

Windows マルウェア検出

追加の Windows プラグイン（オプトイン）

要件

AutoTimeliner はメモリイメージのファミリを自動識別し、Windows、Linux、macOS に適したプラグインセットを有効にします。 起動を高速化するには、--os-hint を指定して自動検出をスキップできます。

インストール

Poetry を使用（推奨）

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

pip を使用

pip install .

使用法

autotimeliner -f IMAGEFILE [-t TIMEFRAME] [-o OUTPUT] [options]

オプション

例

単一のイメージから完全なタイムラインを抽出:

autotimeliner -f TargetServer.raw

特定の時間枠にフィルタリング:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

ディレクトリ内のすべての .raw ファイルを処理し、出力パスを指定:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

ダンプの OS が既にわかっている場合、起動を高速化:

autotimeliner -f TargetServer.raw --os-hint windows

macOS の別名値を使って便利に:

autotimeliner -f MacbookCapture.mem --os-hint darwin

timeliner と shellbags のみを実行（MFT スキャンをスキップ）:

autotimeliner -f TargetServer.raw --skip-mftscan

完全なフォレンジックスキャン（Windows プラグインセット + オプションの拡張プラグイン）:

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

マルウェアに特化したクイックスキャン:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

Linux に特化したタイムライン収集（自動的に Linux プラグインを有効化）:

autotimeliner -f UbuntuWorkstation.mem

macOS に特化したタイムライン収集（自動的に macOS プラグインを有効化）:

autotimeliner -f MacbookCapture.mem

出力

出力 CSV には次の列が含まれます:

識別パフォーマンス

AutoTimeliner は識別時間を短縮するためのいくつかの最適化を含んでいます:

• --os-hint は自動 OS プローブを完全にバイパスします。
• プローブ順序はファイル名のヒント（例えば linux、ubuntu、macos）を使用して最適化されます。
• 識別結果はイメージキー（path + size + mtime）ごとにキャッシュされます。

キャッシュファイル:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

検出中、ログにはプローブの進行状況や結果メッセージが含まれます:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

v1（Volatility2）からの移行

詳細な比較は docs/migration.md を参照してください。

主な変更点:

• Volatility3 プロファイル識別 — AutoTimeliner は Volatility3 プラグインを介して最善の OS/プロファイルプローブを実行します。
• 自動シンボルテーブル設定 — Windows/macOS/Linux のシンボルパックが自動的にダウンロードおよびインストールされます。
• -p / --customprofile は非推奨 — サイレントに無視されます。
• mftparser → mftscan — 同じデータ、新しいプラグイン名。
• ボディファイルのディスク書き込みなし — データは Python から直接 CSV に流れます。
• mactime はオプションになりました — 古いボディファイルワークフローには --use-mactime を使用します。

開発

poetry install
poetry run pytest

ライセンス

MIT — LICENSE を参照。

作者

Andrea Fortuna — [email protected] — andreafortuna.org