IRFlow Timeline

IRFlow Timeline 홈 화면 — Process Inspector, Lateral Movement, Persistence, Sigma, Collect AI Artifacts, Master File Table, USN Journal, Open & Explore 기능 실행기

네이티브 macOS 포렌식 타임라인 분석. EVTX, CSV, XLSX, Plaso, $MFT, $J 및 로컬 AI 비서 아티팩트를 가져오고 검색하고 조사하세요 — AI Secret Hunt와 DFIR 전문가에게 실제로 필요한 분석 기능을 갖추고 있습니다. 수백만 개의 행도 무리 없이 처리하도록 Electron + SQLite 기반으로 구축되었습니다.

Windows용 Eric Zimmerman의 Timeline Explorer에서 영감을 받았습니다.

주요 기능

AI 아티팩트 — Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf, Continue의 로컬 AI 기록을 하나의 타임라인 탭으로 수집; 노출된 키, 토큰 및 자격 증명을 찾는 AI Secret Hunt
원시 NTFS 아티팩트 가져오기 — 전체 경로 재구성, SI/FN 타임스탬프 및 변경 이유 매핑을 포함한 $MFT 및 $UsnJrnl($J) 직접 수집
랜섬웨어 분석 — $MFT 데이터 기반 자동 영향 분석: 대량 이름 변경 탐지, 엔트로피 기반 확장자 분석, 랜섬 노트 식별, 시간적 클러스터링
VirusTotal 강화 — 대량 VT 조회를 통한 IOC 매칭, 악성코드 패밀리 추출, 평판 배지, 관계 피벗, 로컬 캐싱
Process Inspector — 340개 이상의 MITRE ATT&CK 탐지 규칙을 갖춘 부모-자식 프로세스 트리 분석
Lateral Movement Tracker — 대화형 힘-방향 그래프로 네트워크 로그온 및 RDP 세션 시각화
RDP 비트맵 캐시 복구 — 번들된 bmc-tools로 bcache*.bmc 및 cache????.bin 아티팩트 복구, 이미지 미리보기, 증거 패키지 내보내기
Persistence Analyzer — 계정 체인 탐지, 기법 간 상관관계 분석, PowerShell 4104 스크립트 블록 재조립을 포함한 30개 이상의 지속성 기법
IOC 매칭 — 자동 디펑(defang), 인라인 강조 표시, VT 강화 데이터가 포함된 CSV/HTML 내보내기를 지원하는 17개 이상의 지표 범주

전체 기능 목록과 문서는 IRFlow Timeline 문서 를 참조하세요.

소스에서 빌드하기

사전 요구 사항(개발자 전용):

Node.js 18 이상: brew install node
Xcode CLI 도구: xcode-select --install (네이티브 모듈 컴파일용)
macOS 12+ (Monterey 이상)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# 개발(핫 리로드)
npm run dev

# 빌드 + 실행
npm run start

# 유니버설 DMG로 패키징
npm run dist:universal

출력은 release/에 생성됩니다.

크레딧 및 감사의 글

Eric Zimmerman의 Timeline Explorer에서 영감을 받았습니다.

오픈 소스 프로젝트

프로젝트	용도	링크
Electron	애플리케이션 프레임워크	electron/electron
better-sqlite3	WAL 모드, FTS5를 갖춘 고성능 SQLite 엔진	WiseLibs/better-sqlite3
@ts-evtx/core	네이티브 Windows EVTX 이벤트 로그 파싱	NickSmet/ts-evtx
Plaso (log2timeline)	포렌식 타임라인 생성(Plaso SQLite 출력을 가져옴)	log2timeline/plaso
ExcelJS	XLSX 스트리밍 리더	exceljs/exceljs
SheetJS (xlsx)	XLSX 파싱	SheetJS/sheetjs
csv-parser	CSV/TSV 스트리밍 파서	mafintosh/csv-parser
React	UI 렌더링	facebook/react
Vite	빌드 도구 및 핫 리로드	vitejs/vite
VitePress	문서 사이트	vuejs/vitepress
electron-builder	macOS DMG 패키징	electron-userland/electron-builder
bmc-tools	RDP 비트맵 캐시 복구	ANSSI-FR/bmc-tools

DFIR 커뮤니티

Eric Zimmerman — 이 프로젝트의 원래 영감이 된 Windows용 Timeline Explorer
log2timeline/Plaso — Kristinn Gudjonsson와 기여자들이 만든 슈퍼 타임라인 생성 프레임워크
SANS DFIR — DFIR 교육 및 커뮤니티 리소스
The DFIR Report — 위협 탐지 패턴에 반영된 실제 침입 분석 보고서
CyberCX — $J 파싱 구현에 반영된 NTFS $UsnJrnl 연구

베타 테스터

테스트와 피드백을 제공해 주신 다음 분들께 감사드립니다:

라이선스

Apache-2.0

irflow-timeline v1.0.8

카테고리