AutoTimeliner

自动从易失性内存转储中提取取证时间线。

AutoTimeliner 对 Windows、Linux 和 macOS 内存镜像运行多个 Volatility3 插件，然后将它们的输出合并为一个单一的、排序后的 CSV 时间线：

通用时间线插件

Windows 插件集

Linux 插件集

macOS 插件集

Windows 进程与执行分析

Windows 网络分析

Windows 恶意软件检测

附加 Windows 插件（可选启用）

要求

AutoTimeliner 会自动识别内存镜像的操作系统系列，并为 Windows、Linux 或 macOS 启用相应的插件集。 要加快启动速度，可以传递 --os-hint 跳过自动检测。

安装

使用 Poetry（推荐）

git clone https://github.com/andreafortuna/autotimeliner.git
cd autotimeliner
poetry install

使用 pip

pip install .

用法

autotimeliner -f IMAGEFILE [-t TIMEFRAME] [-o OUTPUT] [options]

选项

示例

从单个镜像提取完整时间线：

autotimeliner -f TargetServer.raw

过滤到特定时间窗口：

autotimeliner -f TargetServer.raw -t 2023-10-17..2023-10-21

处理目录中的所有 .raw 文件，指定输出路径：

autotimeliner -f './*.raw' -o /evidence/timeline.csv

当您已知转储的操作系统时加快启动：

autotimeliner -f TargetServer.raw --os-hint windows

使用 macOS 别名值以方便：

autotimeliner -f MacbookCapture.mem --os-hint darwin

仅运行 timeliner 和 shellbags（跳过 MFT 扫描）：

autotimeliner -f TargetServer.raw --skip-mftscan

完整取证扫描（Windows 插件集 + 可选的扩展插件）：

autotimeliner -f TargetServer.raw --with-dlllist --with-filescan --with-handles --with-envars

快速恶意软件聚焦扫描：

autotimeliner -f TargetServer.raw --skip-timeliner --skip-mftscan --skip-shellbags

面向 Linux 的时间线收集（自动启用 Linux 插件）：

autotimeliner -f UbuntuWorkstation.mem

面向 macOS 的时间线收集（自动启用 macOS 插件）：

autotimeliner -f MacbookCapture.mem

输出

输出 CSV 包含以下列：

识别性能

AutoTimeliner 包含多项优化以减少识别时间：

• --os-hint 完全绕过自动操作系统探测。
• 探测顺序通过文件名提示（例如 linux、ubuntu、macos）优化。
• 识别结果按镜像键（路径 + 大小 + 修改时间）缓存。

缓存文件：

~/.cache/autotimeliner/volatility3/.autotimeliner_profile_cache.json

在检测期间，日志会显示探测进度和结果消息，例如：

OS probe attempt: family=windows plugin=windows.info.Info
OS probe returned no rows: windows.info.Info
Memory image identification succeeded: os=linux profile=linux:... probe=linux.banners.Banners

从 v1 (Volatility2) 迁移

参见 docs/migration.md 获取完整对比。

主要变化：

• Volatility3 配置文件识别 — AutoTimeliner 通过 Volatility3 插件进行尽力而为的操作系统/配置文件探测。
• 自动符号表设置 — Windows/macOS/Linux 符号包会自动下载并安装。
• -p / --customprofile 已弃用 — 被静默忽略。
• mftparser → mftscan — 相同数据，新插件名称。
• 不再将 body 文件写入磁盘 — 数据直接通过 Python 流向 CSV。
• mactime 现在是可选的 — 对于旧的 body 文件工作流，使用 --use-mactime。

开发

poetry install
poetry run pytest

许可证

MIT — 参见 LICENSE。

作者

Andrea Fortuna — [email protected] — andreafortuna.org