IRFlow Timeline

原生 macOS 取证时间线分析。可导入、搜索并调查 EVTX、CSV、XLSX、Plaso、$MFT、$J 以及本地 AI 助手工件 — 并配备 AI Secret Hunt 和取证调查人员真正需要的分析功能。基于 Electron + SQLite 构建，可轻松处理数百万行数据。

灵感来自 Eric Zimmerman 为 Windows 设计的 Timeline Explorer。

主要功能

• AI 工件 — 将来自 Claude Code、Codex、ChatGPT Desktop、Gemini CLI、Cursor、Copilot、Windsurf 和 Continue 的本地 AI 历史记录收集到一个时间线标签页中；AI Secret Hunt 用于发现暴露的密钥、令牌和凭据
• 原始 NTFS 工件导入 — 直接导入 $MFT 和 $UsnJrnl ($J)，支持完整路径重建、SI/FN 时间戳以及变更原因映射
• 勒索软件分析 — 基于 $MFT 数据自动进行影响分析：批量重命名检测、基于熵的扩展名分析、勒索信识别和时间聚类
• VirusTotal 情报增强 — 通过批量 VT 查询进行 IOC 匹配、恶意软件家族提取、判定徽章、关系枢轴分析和本地缓存
• 进程检查器 — 使用 340+ 条 MITRE ATT&CK 检测规则进行父子进程树分析
• 横向移动追踪器 — 将网络登录和 RDP 会话可视化为交互式力导向图
• RDP 位图缓存恢复 — 使用随附的 bmc-tools 恢复 bcache*.bmc 和 cache????.bin 工件，预览图像并导出证据包
• 持久化分析器 — 30+ 种持久化技术，具备账户链检测、跨技术关联和 PowerShell 4104 脚本块重组功能
• IOC 匹配 — 17+ 种指标类别，支持自动去毒化、内联高亮、带 VT 增强数据的 CSV/HTML 导出

有关完整功能列表和文档，请访问 IRFlow Timeline 文档。

从源码构建

前提条件（仅限开发者）：

• Node.js 18+：brew install node
• Xcode 命令行工具：xcode-select --install（用于原生模块编译）
• macOS 12+（Monterey 或更高版本）

git clone https://github.com/r3nzsec/irflow-timeline.git
cd irflow-timeline
npm install
npx electron-rebuild -f -w better-sqlite3

# Development (hot-reload)
npm run dev

# Build + launch
npm run start

# Package as universal DMG
npm run dist:universal

输出位于 release/ 目录中。

致谢

灵感来自 Eric Zimmerman 的 Timeline Explorer。

开源项目

DFIR 社区

• Eric Zimmerman -- Windows 版 Timeline Explorer，本项目的最初灵感来源
• log2timeline/Plaso -- 由 Kristinn Gudjonsson 及贡献者打造的超级时间线生成框架
• SANS DFIR -- DFIR 培训与社区资源
• The DFIR Report -- 真实世界的入侵分析报告，为威胁检测模式提供了参考
• CyberCX -- NTFS $UsnJrnl 研究，为 $J 解析实现提供了参考

Beta 测试人员

感谢以下人员参与测试并提供反馈：

• Maddy Keller
• Omar Jbari
• Nicolas Bareil
• Dominic Rathmann
• Chip Riley

许可证

Apache-2.0