Builds forensic super timelines using Plaso/log2timeline from disk images, correlating filesystem metadata, logs, browser history, and registry events chronologically for investigations.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 需要从多个证据来源构建综合取证时间线时
Builds forensic super-timelines using Plaso (log2timeline) to correlate events from file systems, logs, browser history, registry, and artifacts chronologically. For digital forensics investigations.
Generates forensic super-timelines using Plaso (log2timeline) from disk images, logs, and artifacts to correlate events chronologically in investigations.
Builds collaborative forensic incident timelines using Timesketch for cybersecurity investigations, ingesting multi-source data via Plaso, CSV/JSONL, normalizing for analysis, attack chain reconstruction, and documentation.
Share bugs, ideas, or general feedback.
# 在 Ubuntu/Debian 上安装 Plaso
sudo add-apt-repository ppa:gift/stable
sudo apt-get update
sudo apt-get install plaso-tools
# 或通过 pip 安装
pip install plaso
# 或使用 Docker(推荐,依赖隔离)
docker pull log2timeline/plaso
# 验证安装
log2timeline.py --version
psort.py --version
# 创建输出目录
mkdir -p /cases/case-2024-001/timeline/
# 验证取证镜像
img_stat /cases/case-2024-001/images/evidence.dd
# 基本处理磁盘镜像(使用所有解析器)
log2timeline.py \
--storage-file /cases/case-2024-001/timeline/evidence.plaso \
/cases/case-2024-001/images/evidence.dd
# 使用特定解析器进行快速定向分析
log2timeline.py \
--parsers "winevtx,prefetch,mft,usnjrnl,lnk,recycle_bin,chrome_history,firefox_history,winreg" \
--storage-file /cases/case-2024-001/timeline/evidence.plaso \
/cases/case-2024-001/images/evidence.dd
# 使用过滤文件聚焦特定路径
cat << 'EOF' > /cases/case-2024-001/timeline/filter.txt
/Windows/System32/winevt/Logs
/Windows/Prefetch
/Users/*/NTUSER.DAT
/Users/*/AppData/Local/Google/Chrome
/Users/*/AppData/Roaming/Mozilla/Firefox
/$MFT
/$UsnJrnl:$J
/Windows/System32/config
EOF
log2timeline.py \
--filter-file /cases/case-2024-001/timeline/filter.txt \
--storage-file /cases/case-2024-001/timeline/evidence.plaso \
/cases/case-2024-001/images/evidence.dd
# 使用 Docker 运行
docker run --rm -v /cases:/cases log2timeline/plaso log2timeline \
--storage-file /cases/case-2024-001/timeline/evidence.plaso \
/cases/case-2024-001/images/evidence.dd
# 将多个证据来源处理到同一时间线
log2timeline.py \
--storage-file /cases/case-2024-001/timeline/combined.plaso \
/cases/case-2024-001/images/workstation.dd
log2timeline.py \
--storage-file /cases/case-2024-001/timeline/combined.plaso \
/cases/case-2024-001/images/server.dd
# 导出完整时间线为 CSV(超级时间线格式)
psort.py \
-o l2tcsv \
-w /cases/case-2024-001/timeline/full_timeline.csv \
/cases/case-2024-001/timeline/evidence.plaso
# 使用日期范围过滤导出(聚焦事件窗口)
psort.py \
-o l2tcsv \
-w /cases/case-2024-001/timeline/incident_window.csv \
/cases/case-2024-001/timeline/evidence.plaso \
"date > '2024-01-15 00:00:00' AND date < '2024-01-20 23:59:59'"
# 以 JSON Lines 格式导出(用于导入 SIEM/Timesketch)
psort.py \
-o json_line \
-w /cases/case-2024-001/timeline/timeline.jsonl \
/cases/case-2024-001/timeline/evidence.plaso
# 按特定来源类型过滤导出
psort.py \
-o l2tcsv \
-w /cases/case-2024-001/timeline/registry_events.csv \
/cases/case-2024-001/timeline/evidence.plaso \
"source_short == 'REG'"
psort.py \
-o l2tcsv \
-w /cases/case-2024-001/timeline/evtx_events.csv \
/cases/case-2024-001/timeline/evidence.plaso \
"source_short == 'EVT'"
# 为 Timeline Explorer 导出(动态 CSV)
psort.py \
-o dynamic \
-w /cases/case-2024-001/timeline/timeline_explorer.csv \
/cases/case-2024-001/timeline/evidence.plaso
# 安装 Timesketch(Docker 部署)
git clone https://github.com/google/timesketch.git
cd timesketch
docker compose up -d
# 通过 CLI 将 Plaso 文件导入 Timesketch
timesketch_importer \
--host http://localhost:5000 \
--username analyst \
--password password \
--sketch_id 1 \
--timeline_name "案例 2024-001 工作站" \
/cases/case-2024-001/timeline/evidence.plaso
# 或导入 JSONL
timesketch_importer \
--host http://localhost:5000 \
--username analyst \
--sketch_id 1 \
--timeline_name "案例 2024-001" \
/cases/case-2024-001/timeline/timeline.jsonl
# 在 Timesketch Web 界面中:
# 1. 搜索事件:"data_type:windows:evtx:record AND event_identifier:4624"
# 2. 应用 Sigma 分析器进行自动化检测
# 3. 标记/标签重要事件
# 4. 创建记录调查叙述的故事
# 5. 与团队成员共享
# 分析已知事件周围的特定时间段
python3 << 'PYEOF'
import csv
from collections import defaultdict
from datetime import datetime
# 加载事件窗口时间线
events_by_hour = defaultdict(list)
source_counts = defaultdict(int)
with open('/cases/case-2024-001/timeline/incident_window.csv', 'r', errors='ignore') as f:
reader = csv.DictReader(f)
total = 0
for row in reader:
total += 1
timestamp = row.get('datetime', row.get('date', ''))
source = row.get('source_short', row.get('source', 'Unknown'))
description = row.get('message', row.get('desc', ''))
source_counts[source] += 1
# 按小时分组,分析活动模式
try:
dt = datetime.strptime(timestamp[:19], '%Y-%m-%dT%H:%M:%S')
hour_key = dt.strftime('%Y-%m-%d %H:00')
events_by_hour[hour_key].append({
'time': timestamp,
'source': source,
'description': description[:200]
})
except (ValueError, TypeError):
pass
print(f"事件窗口内事件总数:{total}\n")
print("=== 按来源类型的事件统计 ===")
for source, count in sorted(source_counts.items(), key=lambda x: x[1], reverse=True):
print(f" {source}: {count}")
print("\n=== 按小时的活动统计 ===")
for hour in sorted(events_by_hour.keys()):
count = len(events_by_hour[hour])
bar = '#' * min(count // 10, 50)
print(f" {hour}: {count:>6} 个事件 {bar}")
# 找出活动异常激增的小时
avg = total / max(len(events_by_hour), 1)
print(f"\n=== 异常活动小时(>{avg*3:.0f} 个事件)===")
for hour in sorted(events_by_hour.keys()):
if len(events_by_hour[hour]) > avg * 3:
print(f" {hour}: {len(events_by_hour[hour])} 个事件(激增)")
PYEOF
| 概念 | 描述 |
|---|---|
| 超级时间线(Super-timeline) | 整合多个来源所有制品时间戳的统一时间顺序视图 |
| MACB 时间戳 | 修改(Modified)、访问(Accessed)、更改(Changed,元数据)、创建(Born)—— 四种关键文件时间戳类型 |
| Plaso 存储文件 | 基于 SQLite 的中间格式,存储导出前的解析事件 |
| L2T CSV | Log2timeline CSV 格式,具有标准化的时间线事件列 |
| 解析器(Parser) | Plaso 模块,从特定制品类型中提取时间戳(如 winevtx、prefetch) |
| Psort | Plaso 排序和过滤工具,用于后处理存储文件 |
| Timesketch | Google 开源协作式时间线分析平台 |
| 轴心点(Pivot points) | 已知时间戳(如恶意软件执行)用于聚焦调查范围 |
| 工具 | 用途 |
|---|---|
| log2timeline(Plaso) | 主要时间线生成引擎,解析 100+ 种制品类型 |
| psort | Plaso 输出过滤、排序和导出工具 |
| Timesketch | 基于 Web 的协作取证时间线分析平台 |
| Timeline Explorer | Eric Zimmerman 的 Windows GUI,用于 CSV 时间线分析 |
| KAPE | 自动化分类收集,为 Plaso 处理提供输入 |
| mactime(TSK) | 基于 Sleuth Kit bodyfile 的简单时间线生成 |
| Excel/Sheets | 对小型过滤数据集进行手动时间线审查 |
| Elastic/Kibana | JSONL 时间线数据的替代可视化平台 |
场景 1:勒索软件攻击重建 使用 Plaso 处理完整磁盘镜像,过滤到发现加密前一周,从浏览器历史和事件日志识别初始访问载体,通过注册表和 Prefetch 追踪权限提升,从网络登录事件中绘制横向移动,从显示大量文件修改的 MFT 时间戳确定加密开始时间。
场景 2:数据盗窃调查 创建嫌疑人工作站的超级时间线,过滤 USB 设备连接事件、文件访问时间戳和云存储浏览器活动,构建显示数据暂存、压缩和渗出的叙述,将带标记证据点的时间线提交给法律团队。
场景 3:多系统入侵分析 将所有受影响系统的磁盘镜像处理到单个 Plaso 存储文件,导入 Timesketch 进行协作分析,在系统时间线中搜索横向移动模式,识别零号患者系统和初始入侵载体,绘制整个环境中的完整攻击链。
场景 4:内部威胁非工作时间活动 仅过滤非工作时间的时间线,识别正常工作时间之外的文件访问模式,与认证事件关联(门禁、VPN 登录),搜索这些时间段内对敏感目录的数据访问,为 HR/法律构建证据包。
时间线重建摘要:
证据来源:
磁盘镜像:evidence.dd(500 GB,NTFS)
Plaso 存储:evidence.plaso(2.3 GB)
处理统计:
提取的事件总数:4,567,890
使用的解析器:45 个(winevtx、prefetch、mft、usnjrnl、lnk、chrome、firefox、winreg...)
处理时间:3 小时 45 分钟
事件窗口(2024-01-15 至 2024-01-20):
窗口内事件:234,567
事件来源:
MFT: 89,234
事件日志: 45,678
USN 日志: 56,789
注册表: 23,456
Prefetch: 1,234
浏览器: 5,678
LNK 文件: 2,345
其他: 10,153
关键时间线事件:
2024-01-15 14:32 - 打开网络钓鱼邮件(浏览器)
2024-01-15 14:33 - 下载恶意文档
2024-01-15 14:35 - 执行 PowerShell(Prefetch + 事件日志)
2024-01-15 14:36 - 建立 C2 连接(注册表 + 事件日志)
2024-01-16 02:30 - 执行 Mimikatz(Prefetch)
2024-01-16 02:45 - 横向移动至 DC(事件日志)
2024-01-17 03:00 - 数据渗出(MFT + USN 日志)
2024-01-18 03:00 - 清除日志(事件日志)
导出文件:
完整时间线: /timeline/full_timeline.csv(450 万行)
事件窗口: /timeline/incident_window.csv(23.4 万行)
Timesketch 导入:/timeline/timeline.jsonl