AutoTimeliner

Extraia automaticamente linha do tempo forense de dumps de memória volátil.

O AutoTimeliner executa múltiplos plugins do Volatility3 em imagens de memória Windows, Linux e macOS e depois mescla suas saídas em uma única linha do tempo CSV, ordenada:

Plugin de Linha do Tempo Genérico

Conjunto de Plugins Windows

Conjunto de Plugins Linux

Conjunto de Plugins macOS

Análise de Processos e Execução no Windows

Análise de Rede no Windows

Detecção de Malware no Windows

Plugins Adicionais do Windows (opt-in)

Requisitos

O AutoTimeliner identifica automaticamente a família da imagem de memória e ativa o conjunto de plugins apropriado para Windows, Linux ou macOS. Para inicialização mais rápida, você pode passar --os-hint para pular a detecção automática.

Instalação

Com Poetry (recomendado)

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

Com pip

pip install .

Uso

autotimeliner -f IMAGEFILE [-t TIMEFRAME] [-o OUTPUT] [opções]

Opções

Exemplos

Extrair uma linha do tempo completa de uma única imagem:

autotimeliner -f TargetServer.raw

Filtrar para uma janela de tempo específica:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

Processar todos os arquivos .raw em um diretório, especificando caminho de saída:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

Acelerar a inicialização quando você já sabe o SO do dump:

autotimeliner -f TargetServer.raw --os-hint windows

Usar valores de alias do macOS por conveniência:

autotimeliner -f MacbookCapture.mem --os-hint darwin

Executar apenas timeliner e shellbags (pular varredura MFT):

autotimeliner -f TargetServer.raw --skip-mftscan

Varredura forense completa (conjunto de plugins Windows + plugins estendidos opcionais):

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

Varredura rápida focada em malware:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

Coleta de linha do tempo focada em Linux (ativa automaticamente plugins linux):

autotimeliner -f UbuntuWorkstation.mem

Coleta de linha do tempo focada em macOS (ativa automaticamente plugins macOS):

autotimeliner -f MacbookCapture.mem

Saída

O CSV de saída possui as seguintes colunas:

Desempenho de Identificação

O AutoTimeliner inclui diversas otimizações para reduzir o tempo de identificação:

• --os-hint ignora completamente a sondagem automática de SO.
• A ordem de sondagem é otimizada usando dicas do nome do arquivo (por exemplo, linux, ubuntu, macos).
• Os resultados da identificação são armazenados em cache por chave de imagem (path + size + mtime).

Arquivo de cache:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

Durante a detecção, os logs incluem progresso da sondagem e mensagens de resultado, como:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

Migrando da v1 (Volatility2)

Consulte docs/migration.md para uma comparação completa.

Principais mudanças:

• Identificação de perfil do Volatility3 — O AutoTimeliner realiza uma sondagem de SO/perfil de melhor esforço via plugins do Volatility3.
• Configuração automática de tabelas de símbolos — Pacotes de símbolos Windows/macOS/Linux são baixados e instalados automaticamente.
• -p / --customprofile está obsoleto — é ignorado silenciosamente.
• mftparser → mftscan — mesmos dados, novo nome do plugin.
• Nenhum arquivo body é escrito em disco — os dados fluem através do Python diretamente para CSV.
• mactime agora é opcional — use --use-mactime para o fluxo de trabalho antigo de arquivo body.

Desenvolvimento

poetry install
poetry run pytest

Licença

MIT — veja LICENSE.

Autor

Andrea Fortuna — [email protected] — andreafortuna.org