irflow-timeline v1.0.10
Análise de Linha do Tempo DFIR para macOS — visualizador baseado em SQLite para arquivos CSV, TSV, XLSX, EVTX, Plaso, $MFT e $J com AI Artifacts, AI Secret Hunt, inspeção de processos, rastreamento de movimento lateral, detecção de persistência e enriquecimento do VirusTotal.
IRFlow Timeline
Análise forense de timeline nativa para macOS. Importe, pesquise e investigue artefatos de EVTX, CSV, XLSX, Plaso, $MFT, $J e do assistente de IA local — com AI Secret Hunt e as análises que profissionais de DFIR realmente precisam. Construído com Electron + SQLite para lidar com milhões de linhas sem esforço.
Inspirado no Timeline Explorer de Eric Zimmerman para Windows.
Principais Recursos
- AI Artifacts — Colete o histórico de IA local de Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf e Continue em uma única aba de timeline; AI Secret Hunt para chaves, tokens e credenciais expostos
- Importação Bruta de Artefatos NTFS — Ingestão direta de
$MFTe$UsnJrnl($J) com reconstrução completa de caminhos, timestamps SI/FN e mapeamento de razões de alteração - Análise de Ransomware — Análise automatizada de impacto a partir de dados do
$MFT: detecção de renomeações em massa, análise de extensões baseada em entropia, identificação de notas de resgate e agrupamento temporal - Enriquecimento com VirusTotal — Correspondência de IOCs com consultas VT em lote, extração de famílias de malware, selos de veredito, pivô de relacionamentos e cache local
- Process Inspector — Análise de árvore de processos pai-filho com mais de 340 regras de detecção MITRE ATT&CK
- Lateral Movement Tracker — Visualização de logons de rede e sessões RDP como grafos interativos de força direcionada
- Recuperação de Cache de Bitmap RDP — Recupere artefatos
bcache*.bmcecache????.bincom as ferramentas bmc-tools inclusas, visualize imagens e exporte pacotes de evidência - Persistence Analyzer — Mais de 30 técnicas de persistência com detecção de cadeia de contas, correlação entre técnicas e remontagem de blocos de script do PowerShell 4104
- Correspondência de IOCs — Mais de 17 categorias de indicadores com auto-defanging automático, destaque inline e exportação CSV/HTML com dados de enriquecimento VT
Para a lista completa de recursos e documentação, visite a Documentação do IRFlow Timeline.
Compilando a partir do Código-Fonte
Pré-requisitos (apenas para desenvolvedores):
- Node.js 18+:
brew install node - Ferramentas de linha de comando do Xcode:
xcode-select --install(para compilação de módulos nativos) - macOS 12+ (Monterey ou posterior)
git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3
# Desenvolvimento (hot-reload)
npm run dev
# Compilar + iniciar
npm run start
# Empacotar como DMG universal
npm run dist:universal
Saída em release/.
Créditos e Agradecimentos
Inspirado no Timeline Explorer de Eric Zimmerman.
Projetos de Código Aberto
| Projeto | Uso | Link |
|---|---|---|
| Electron | Framework de aplicação | electron/electron |
| better-sqlite3 | Mecanismo SQLite de alto desempenho com modo WAL e FTS5 | WiseLibs/better-sqlite3 |
| @ts-evtx/core | Parseamento nativo de logs de eventos EVTX do Windows | NickSmet/ts-evtx |
| Plaso (log2timeline) | Geração de timelines forenses (importamos a saída SQLite do Plaso) | log2timeline/plaso |
| ExcelJS | Leitor de streaming para XLSX | exceljs/exceljs |
| SheetJS (xlsx) | Parseamento de XLSX | SheetJS/sheetjs |
| csv-parser | Parser de streaming para CSV/TSV | mafintosh/csv-parser |
| React | Renderização de interface | facebook/react |
| Vite | Ferramentas de build e hot-reload | vitejs/vite |
| VitePress | Site de documentação | vuejs/vitepress |
| electron-builder | Empacotamento de DMG para macOS | electron-userland/electron-builder |
| bmc-tools | Recuperação de Cache de Bitmap RDP | ANSSI-FR/bmc-tools |
Comunidade DFIR
- Eric Zimmerman -- Timeline Explorer para Windows, a inspiração original deste projeto
- log2timeline/Plaso -- Framework de geração de super timelines por Kristinn Gudjonsson e colaboradores
- SANS DFIR -- Treinamento e recursos comunitários em DFIR
- The DFIR Report -- Relatórios reais de análise de intrusões que embasaram os padrões de detecção de ameaças
- CyberCX -- Pesquisa sobre NTFS $UsnJrnl que embasou a implementação do parseamento de
$J
Testadores Beta
Agradecemos às seguintes pessoas por testar e fornecer feedback:
Licença
Apache-2.0