AutoTimeliner

Автоматическое извлечение криминалистической временной шкалы из дампов энергозависимой памяти.

AutoTimeliner запускает несколько плагинов Volatility3 для образов памяти Windows, Linux и macOS, затем объединяет их вывод в единую отсортированную CSV-временную шкалу:

Универсальный плагин временной шкалы

Набор плагинов Windows

Набор плагинов Linux

Набор плагинов macOS

Анализ процессов и выполнения (Windows)

Сетевой анализ (Windows)

Обнаружение вредоносного ПО (Windows)

Дополнительные плагины Windows (опционально)

Требования

AutoTimeliner определяет семейство образа памяти автоматически и включает соответствующий набор плагинов для Windows, Linux или macOS. Для более быстрого запуска можно передать --os-hint, чтобы пропустить автоматическое определение.

Установка

С помощью Poetry (рекомендуется)

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

С помощью pip

pip install .

Использование

autotimeliner -f ФАЙЛ_ОБРАЗА [-t ВРЕМЕННОЙ_ПРОМЕЖУТОК] [-o ВЫВОД] [опции]

Опции

Примеры

Извлечь полную временную шкалу из одного образа:

autotimeliner -f TargetServer.raw

Отфильтровать по определённому временному окну:

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

Обработать все файлы .raw в каталоге с указанием пути вывода:

autotimeliner -f './*.raw' -o /evidence/timeline.csv

Ускорить запуск, если ОС дампа уже известна:

autotimeliner -f TargetServer.raw --os-hint windows

Использовать псевдонимы macOS для удобства:

autotimeliner -f MacbookCapture.mem --os-hint darwin

Запустить только timeliner и shellbags (пропустить MFT-сканирование):

autotimeliner -f TargetServer.raw --skip-mftscan

Полное криминалистическое сканирование (набор плагинов Windows + дополнительные расширенные плагины):

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

Быстрое сканирование, ориентированное на вредоносное ПО:

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

Сбор временной шкалы, ориентированной на Linux (автоматически включает плагины Linux):

autotimeliner -f UbuntuWorkstation.mem

Сбор временной шкалы, ориентированной на macOS (автоматически включает плагины macOS):

autotimeliner -f MacbookCapture.mem

Вывод

Выходной CSV-файл содержит следующие колонки:

Производительность идентификации

AutoTimeliner включает несколько оптимизаций для сокращения времени идентификации:

• --os-hint полностью обходит автоматическое определение ОС.
• Порядок зондирования оптимизирован с использованием подсказок в имени файла (например, linux, ubuntu, macos).
• Результаты идентификации кэшируются для каждого образа по ключу (путь + размер + время модификации).

Файл кэша:

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

Во время обнаружения в журнал включаются сообщения о ходе зондирования и результатах, например:

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

Миграция с v1 (Volatility2)

См. docs/migration.md для полного сравнения.

Ключевые изменения:

• Идентификация профиля Volatility3 — AutoTimeliner выполняет зондирование ОС/профиля по возможности с помощью плагинов Volatility3.
• Автоматическая настройка таблиц символов — пакеты символов для Windows/macOS/Linux загружаются и устанавливаются автоматически.
• -p / --customprofile считается устаревшим — игнорируется без предупреждения.
• mftparser → mftscan — те же данные, новое имя плагина.
• Файлы body больше не записываются на диск — данные передаются через Python напрямую в CSV.
• mactime теперь опционален — используйте --use-mactime для старого рабочего процесса с body-файлами.

Разработка

poetry install
poetry run pytest

Лицензия

MIT — см. LICENSE.

Автор

Andrea Fortuna — [email protected] — andreafortuna.org