ma2tl (mac_apt에서 타임라인으로)

이것은 mac_apt의 분석 결과 DB에서 macOS 포렌식 타임라인을 생성하는 DFIR 도구입니다.

요구 사항

• Python 3.7.0 이상
• pytz
• tzlocal
• xlsxwriter

설치

% git clone https://github.com/mnrkbys/ma2tl.git

사용법

% python ./ma2tl.py -h
usage: ma2tl.py [-h] [-i INPUT] [-o OUTPUT] [-ot OUTPUT_TYPE] [-s START] [-e END] [-t TIMEZONE] [-l LOG_LEVEL] plugin [plugin ...]

Forensic timeline generator using mac_apt analysis results. Supports only SQLite DBs.

positional arguments:
  plugin                Plugins to run (space separated).

optional arguments:
  -h, --help            show this help message and exit
  -i INPUT, --input INPUT
                        Path to a folder that contains mac_apt DBs.
  -o OUTPUT, --output OUTPUT
                        Path to a folder to save ma2tl result.
  -ot OUTPUT_TYPE, --output_type OUTPUT_TYPE
                        Specify the output file type: SQLITE, XLSX, TSV (Default: SQLITE)
  -s START, --start START
                        Specify start timestamp. (ex. 2021-11-05 08:30:00)
  -e END, --end END     Specify end timestamp.
  -t TIMEZONE, --timezone TIMEZONE
                        Specify Timezone: "UTC", "Asia/Tokyo", "US/Eastern", etc (Default: System Local Timezone)
  -l LOG_LEVEL, --log_level LOG_LEVEL
                        Specify log level: INFO, DEBUG, WARNING, ERROR, CRITICAL (Default: INFO)

The following 4 plugins are available:
    FILE_DOWNLOAD       Extract file download activities.
    PERSISTENCE         Extract persistence settings.
    PROG_EXEC           Extract program execution activities.
    VOLUME_MOUNT        Extract volume mount/unmount activities.
    ----------------------------------------------------------------------------
    ALL                 Run all plugins

생성된 타임라인 예시

참고 사항

안타깝게도 최신 버전의 mac_apt는 Unified Logs 파일을 올바르게 구문 분석할 수 없습니다. 따라서 helper tools에서 생성한 데이터베이스로 UnifiedLogs.db를 교체해야 합니다.

발표

이 도구는 Japan Security Analyst Conference 2022 (JSAC2022)에서 발표되었습니다.

슬라이드는 아래에서 확인할 수 있습니다:

• 일본어 버전
• 영어 버전

작성자

Minoru Kobayashi

라이선스

MIT