forensic-timeliner

Высокоскоростной движок криминалистической обработки, созданный для специалистов DFIR. Быстрое объединение CSV-вывода от лучших инструментов триажа в единую мини-хронологию со встроенными фильтрацией, обнаружением артефактов, фильтрацией по датам, присвоением ключевых слов и дедупликацией.

Релиз

Forensic Timeliner v2.3 – Примечания к релизу

Новые возможности

• Кроссплатформенный разбор истории браузера

  • Новый ForensicWebHistoryParser — парсит живую историю браузера из CSV, полученного от forensic-webhistory (инструмент на Rust)
  • Поддерживает Chrome, Firefox, Safari, Brave, Edge, Opera, Vivaldi и Arc
  • Обнаружение активности: поисковые запросы, загрузки и события открытия файлов автоматически обогащаются в описании
  • Проверка заголовков для отличия от других форматов CSV

• Поддержка восстановленной истории браузера

  • Новый ForensicWebHistoryCarvedParser — парсит восстановленные/удалённые записи браузера
  • Обрабатывает извлечённые строки из баз SQLite с урезанным набором столбцов
  • Определяет источник восстановления (например, "Извлечено из WAL", "Извлечено из журнала")

• Рефакторинг основной библиотеки

  • Все парсеры, модели, утилиты и интерфейсы вынесены в библиотеку классов ForensicTimeliner.Core
  • Обеспечивает возможность повторного использования веб-платформой без дублирования кода
  • Все существующие парсеры (EZ Tools, Hayabusa, Chainsaw, Nirsoft, Axiom) перенесены в Core

Исправления ошибок

• Исправлено отображение фильтрации по датам — RowsFilteredByDate некорректно рассчитывался, когда фильтрация не применялась, показывая все строки как «отфильтрованные»
• Исправлена инициализация счётчика дедупликации (RowCountAfterDedup)

Прочие изменения

• Лицензия обновлена до CC BY-NC 4.0
• Добавлен флаг --NoPrompt для использования в скриптах и конвейерах автоматизации

Содержание

• Основные возможности
• Быстрый старт
• Загрузки
• Скриншоты
• Аргументы командной строки
• Структура полей вывода временной шкалы
• YAML-конфигурация
• Документация по обработке вывода инструментов
• Руководство по использованию
• Таблица поддержки артефактов и вывода
• Лицензия

Основные возможности

• Объединение CSV-вывода от

  • EZ Tools / Kape
  • Axiom
  • Chainsaw
  • Hayabusa
  • Nirsoft
  • forensic-webhistory (кроссплатформенная история браузера)
  • в единую временную шкалу

• Автоматическое обнаружение CSV в каталогах триажа (всё настраивается) с помощью YAML

  • YAML-файлы уже используют имена по умолчанию для инструментов со стандартным выводом
  • Для инструментов, таких как Hayabusa, где можно задать имя выходного файла, следует назвать файл с вариацией Hayabusa.csv и поместить его в папку с именем Hayabusa
  • Просто укажите базовый каталог, где находится вывод триажа, и инструмент попытается обнаружить CSV-файлы на основе
  • Имени файла
  • Имени папки
  • Заголовков файлов
  • Для журналов событий: фильтров по каналам/поставщикам
  • Для MFT: фильтров по расширениям файлов и путям

• Обогащение временной шкалы присвоением ключевых слов для использования с Timeline Explorer. Автоматическое создание TLE-файла сессии на основе поиска по ключевым словам для CSV-вывода.

• Экспорт, совместимый с RFC-4180, для совместимости с такими инструментами, как Timeline Explorer

• Управление фильтрацией по датам и дедупликацией

• Интерактивная настройка и предварительный просмотр обнаружения YAML

Быстрый старт

Вкратце! Получите вывод Kape/EZ Forensic

Скачайте exe и запустите:

ForensicTimeliner.exe --Interactive

ForensicTimeliner.exe --BaseDir C:\triage\hostname --ALL --OutputFile C:\timeline.csv

.\ForensicTimeliner.exe --ProcessEZ --BaseDir "C:\Users\admin0x\Desktop\sample_data\host_t800" --OutputFile "C:\Users\admin0x\Desktop\test" --ExportFormat csv --EnableTagger

• Откройте TLE-файл сессии из вашего выходного каталога. Если вы переместите файл, необходимо обновить путь в файле сессии.

• Используйте имена по умолчанию для ваших CSV-файлов и убедитесь, что они находятся внутри указанного базового каталога. Есть возможность автоматического обнаружения CSV на основе заголовков файлов, или вы можете настроить имя файла в параметрах YAML.

• Используйте функцию --EnableTagger в командной строке, чтобы построить файл сессии Timeline Explorer на основе присвоения ключевых слов. Настройте ключевые слова в config\keywords\keywords.yaml

Загрузки

Последний релиз: v2.3

Скачайте пример данных для тестирования здесь.

Пример данных

Скриншоты

Интерактивное меню

Поддержка Timeline Explorer

• Автоматическая раскраска в TLE с последними файлами плагинов
• Автоматическое построение TLE-файла сессии с помеченными строками на основе ключевых слов
  • Отредактируйте файл конфигурации ключевых слов и добавьте свои ключевые слова
  • Запустите ForensicTimeliner.exe из командной строки с флагом --EnableTagger

Аргументы командной строки