IRFlow Timeline

네이티브 macOS 포렌식 타임라인 분석. EVTX, CSV, XLSX, Plaso, $MFT, $J 및 로컬 AI 비서 아티팩트를 가져오고 검색하고 조사하세요 — AI Secret Hunt와 DFIR 전문가에게 실제로 필요한 분석 기능을 갖추고 있습니다. 수백만 개의 행도 무리 없이 처리하도록 Electron + SQLite 기반으로 구축되었습니다.

Windows용 Eric Zimmerman의 Timeline Explorer에서 영감을 받았습니다.

주요 기능

• AI 아티팩트 — Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf, Continue의 로컬 AI 기록을 하나의 타임라인 탭으로 수집; 노출된 키, 토큰 및 자격 증명을 찾는 AI Secret Hunt
• 원시 NTFS 아티팩트 가져오기 — 전체 경로 재구성, SI/FN 타임스탬프 및 변경 이유 매핑을 포함한 $MFT 및 $UsnJrnl($J) 직접 수집
• 랜섬웨어 분석 — $MFT 데이터 기반 자동 영향 분석: 대량 이름 변경 탐지, 엔트로피 기반 확장자 분석, 랜섬 노트 식별, 시간적 클러스터링
• VirusTotal 강화 — 대량 VT 조회를 통한 IOC 매칭, 악성코드 패밀리 추출, 평판 배지, 관계 피벗, 로컬 캐싱
• Process Inspector — 340개 이상의 MITRE ATT&CK 탐지 규칙을 갖춘 부모-자식 프로세스 트리 분석
• Lateral Movement Tracker — 대화형 힘-방향 그래프로 네트워크 로그온 및 RDP 세션 시각화
• RDP 비트맵 캐시 복구 — 번들된 bmc-tools로 bcache*.bmc 및 cache????.bin 아티팩트 복구, 이미지 미리보기, 증거 패키지 내보내기
• Persistence Analyzer — 계정 체인 탐지, 기법 간 상관관계 분석, PowerShell 4104 스크립트 블록 재조립을 포함한 30개 이상의 지속성 기법
• IOC 매칭 — 자동 디펑(defang), 인라인 강조 표시, VT 강화 데이터가 포함된 CSV/HTML 내보내기를 지원하는 17개 이상의 지표 범주

전체 기능 목록과 문서는 IRFlow Timeline 문서 를 참조하세요.

소스에서 빌드하기

사전 요구 사항(개발자 전용):

• Node.js 18 이상: brew install node
• Xcode CLI 도구: xcode-select --install (네이티브 모듈 컴파일용)
• macOS 12+ (Monterey 이상)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# 개발(핫 리로드)
npm run dev

# 빌드 + 실행
npm run start

# 유니버설 DMG로 패키징
npm run dist:universal

출력은 release/에 생성됩니다.

크레딧 및 감사의 글

Eric Zimmerman의 Timeline Explorer에서 영감을 받았습니다.

오픈 소스 프로젝트

DFIR 커뮤니티

• Eric Zimmerman — 이 프로젝트의 원래 영감이 된 Windows용 Timeline Explorer
• log2timeline/Plaso — Kristinn Gudjonsson와 기여자들이 만든 슈퍼 타임라인 생성 프레임워크
• SANS DFIR — DFIR 교육 및 커뮤니티 리소스
• The DFIR Report — 위협 탐지 패턴에 반영된 실제 침입 분석 보고서
• CyberCX — $J 파싱 구현에 반영된 NTFS $UsnJrnl 연구

베타 테스터

테스트와 피드백을 제공해 주신 다음 분들께 감사드립니다:

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

라이선스

Apache-2.0