DFIR Timeline Analysis for macOS — просмотрщик на основе SQLite для файлов CSV, TSV, XLSX, EVTX, Plaso, $MFT и $J с AI Artifacts, AI Secret Hunt, проверкой процессов, отслеживанием бокового перемещения, обнаружением персистентности и обогащением VirusTotal.
Нативный анализ криминалистических таймлайнов для macOS. Импортируйте, ищите и исследуйте артефакты EVTX, CSV, XLSX, Plaso, $MFT, $J и локальных ИИ-ассистентов — с AI Secret Hunt и аналитикой, которая действительно нужна специалистам DFIR. Создан на Electron + SQLite и без труда обрабатывает миллионы строк.
Вдохновлён Timeline Explorer от Эрика Циммермана для Windows.
$MFT и $UsnJrnl ($J) с полным восстановлением путей, временными метками SI/FN и сопоставлением причин изменений$MFT: обнаружение массовых переименований, анализ расширений на основе энтропии, поиск записок с требованием выкупа и временная кластеризацияbcache*.bmc и cache????.bin с помощью встроенного bmc-tools, предпросмотр изображений и экспорт пакетов уликПолный список функций и документацию смотрите в IRFlow Timeline Docs.
Предварительные требования (только для разработчиков):
brew install nodexcode-select --install (для компиляции нативных модулей)git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3
# Development (hot-reload)
npm run dev
# Build + launch
npm run start
# Package as universal DMG
npm run dist:universal
Результат — в release/.
Вдохновлено Timeline Explorer Эрика Циммермана.
| Проект | Назначение | Ссылка |
|---|---|---|
| Electron | Фреймворк приложения | electron/electron |
| better-sqlite3 | Высокопроизводительный движок SQLite с режимом WAL и FTS5 | WiseLibs/better-sqlite3 |
| @ts-evtx/core | Нативный парсинг журналов событий Windows EVTX | NickSmet/ts-evtx |
| Plaso (log2timeline) | Генерация криминалистических таймлайнов (импортируем выходные данные Plaso в SQLite) | log2timeline/plaso |
| ExcelJS | Потоковое чтение XLSX | exceljs/exceljs |
| SheetJS (xlsx) | Парсинг XLSX | SheetJS/sheetjs |
| csv-parser | Потоковый парсер CSV/TSV | mafintosh/csv-parser |
| React | Отрисовка пользовательского интерфейса | facebook/react |
| Vite | Сборочный инструмент и hot-reload | vitejs/vite |
| VitePress | Сайт документации | vuejs/vitepress |
| electron-builder | Упаковка DMG для macOS | electron-userland/electron-builder |
| bmc-tools | Восстановление RDP Bitmap Cache | ANSSI-FR/bmc-tools |
Спасибо следующим людям за тестирование и обратную связь:
Apache-2.0