IRFlow Timeline

Нативный анализ криминалистических таймлайнов для macOS. Импортируйте, ищите и исследуйте артефакты EVTX, CSV, XLSX, Plaso, $MFT, $J и локальных ИИ-ассистентов — с AI Secret Hunt и аналитикой, которая действительно нужна специалистам DFIR. Создан на Electron + SQLite и без труда обрабатывает миллионы строк.

Вдохновлён Timeline Explorer от Эрика Циммермана для Windows.

Ключевые возможности

• AI Artifacts — Сбор локальной истории ИИ из Claude Code, Codex, ChatGPT Desktop, Gemini CLI, Cursor, Copilot, Windsurf и Continue в одной вкладке таймлайна; AI Secret Hunt для поиска раскрытых ключей, токенов и учётных данных
• Raw NTFS Artifact Import — Прямой импорт $MFT и $UsnJrnl ($J) с полным восстановлением путей, временными метками SI/FN и сопоставлением причин изменений
• Ransomware Analytics — Автоматизированный анализ последствий по данным $MFT: обнаружение массовых переименований, анализ расширений на основе энтропии, поиск записок с требованием выкупа и временная кластеризация
• VirusTotal Enrichment — Сопоставление IOC с массовыми запросами к VT, извлечение семейств вредоносных программ, бейджи вердиктов, анализ взаимосвязей и локальное кэширование
• Process Inspector — Анализ дерева процессов «родитель-потомок» с 340+ правилами обнаружения MITRE ATT&CK
• Lateral Movement Tracker — Визуализация сетевых входов и RDP-сессий в виде интерактивных графов с силовой компоновкой
• RDP Bitmap Cache Recovery — Восстановление артефактов bcache*.bmc и cache????.bin с помощью встроенного bmc-tools, предпросмотр изображений и экспорт пакетов улик
• Persistence Analyzer — 30+ техник закрепления с обнаружением цепочек учётных записей, корреляцией между техниками и восстановлением блоков скриптов PowerShell 4104
• IOC Matching — 17+ категорий индикаторов с автодефангом, встроенной подсветкой и экспортом в CSV/HTML с данными обогащения VT

Полный список функций и документацию смотрите в IRFlow Timeline Docs.

Сборка из исходного кода

Предварительные требования (только для разработчиков):

• Node.js 18+: brew install node
• Инструменты командной строки Xcode: xcode-select --install (для компиляции нативных модулей)
• macOS 12+ (Monterey или новее)

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Development (hot-reload)
npm run dev

# Build + launch
npm run start

# Package as universal DMG
npm run dist:universal

Результат — в release/.

Благодарности и признательность

Вдохновлено Timeline Explorer Эрика Циммермана.

Проекты с открытым исходным кодом

Сообщество DFIR

• Eric Zimmerman -- Timeline Explorer для Windows, послуживший исходным вдохновением для этого проекта
• log2timeline/Plaso -- Фреймворк создания супертаймлайнов от Кристинна Гудьонссона и контрибьюторов
• SANS DFIR -- Обучение DFIR и ресурсы сообщества
• The DFIR Report -- Отчёты об анализе реальных вторжений, определившие шаблоны обнаружения угроз
• CyberCX -- Исследование NTFS $UsnJrnl, лёгшее в основу реализации парсинга $J

Бета-тестеры

Спасибо следующим людям за тестирование и обратную связь:

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

Лицензия

Apache-2.0