AutoTimeliner

자동으로 휘발성 메모리 덤프에서 포렌식 타임라인을 추출합니다.

AutoTimeliner는 Windows, Linux 및 macOS 메모리 이미지에 대해 여러 Volatility3 플러그인을 실행한 후, 그 출력을 하나의 정렬된 CSV 타임라인으로 병합합니다:

일반 타임라인 플러그인

Windows 플러그인 세트

Linux 플러그인 세트

macOS 플러그인 세트

Windows 프로세스 및 실행 분석

Windows 네트워크 분석

Windows 악성코드 탐지

추가 Windows 플러그인 (선택 사항)

요구 사항

AutoTimeliner는 메모리 이미지 계열을 자동으로 식별하며 Windows, Linux 또는 macOS에 적합한 플러그인 세트를 활성화합니다. 더 빠른 시작을 위해 --os-hint를 전달하여 자동 감지를 건너뛸 수 있습니다.

설치

Poetry 사용 (권장)

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

pip 사용

pip install .

사용법

autotimeliner -f IMAGEFILE [-t TIMEFRAME] [-o OUTPUT] [options]

옵션

예제

단일 이미지에서 전체 타임라인 추출:

autotimeliner -f TargetServer.raw

특정 시간 창으로 필터링:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

디렉토리 내 모든 .raw 파일 처리, 출력 경로 지정:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

덤프 OS를 이미 알고 있을 때 시작 속도 향상:

autotimeliner -f TargetServer.raw --os-hint windows

편의를 위해 macOS 별칭 값 사용:

autotimeliner -f MacbookCapture.mem --os-hint darwin

timeliner와 shellbags만 실행 (MFT 검사 건너뛰기):

autotimeliner -f TargetServer.raw --skip-mftscan

전체 포렌식 검사 (Windows 플러그인 세트 + 선택적 확장 플러그인):

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

빠른 악성코드 중심 검사:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

Linux 중심 타임라인 수집 (자동으로 linux 플러그인 활성화):

autotimeliner -f UbuntuWorkstation.mem

macOS 중심 타임라인 수집 (자동으로 macOS 플러그인 활성화):

autotimeliner -f MacbookCapture.mem

출력

출력 CSV에는 다음 열이 있습니다:

식별 성능

AutoTimeliner는 식별 시간을 줄이기 위해 여러 최적화를 포함합니다:

• --os-hint는 자동 OS 프로빙을 완전히 우회합니다.
• 프로브 순서는 파일 이름 힌트(예: linux, ubuntu, macos)를 사용하여 최적화됩니다.
• 식별 결과는 이미지 키(path + size + mtime)별로 캐시됩니다.

캐시 파일:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

탐지 중 로그에는 다음과 같은 프로브 진행 상황 및 결과 메시지가 포함됩니다:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

v1 (Volatility2)에서 마이그레이션

전체 비교는 docs/migration.md에서 확인하세요.

주요 변경 사항:

• Volatility3 프로필 식별 — AutoTimeliner는 Volatility3 플러그인을 통해 최선의 OS/프로필 프로브를 수행합니다.
• 자동 심볼 테이블 설정 — Windows/macOS/Linux 심볼 팩이 자동으로 다운로드 및 설치됩니다.
• -p / --customprofile는 더 이상 사용되지 않음 — 자동으로 무시됩니다.
• mftparser → mftscan — 동일한 데이터, 새로운 플러그인 이름.
• 디스크에 바디 파일이 기록되지 않음 — 데이터가 Python을 통해 CSV로 직접 전달됩니다.
• mactime은 이제 선택 사항 — 예전 바디 파일 워크플로우에는 --use-mactime을 사용하세요.

개발

poetry install
poetry run pytest

라이선스

MIT — LICENSE 참조.

저자

Andrea Fortuna — [email protected] — andreafortuna.org