Plaso — Moteur de super timeline

Timeline Analyse

★★★★★

Présentation

Plaso (et son outil log2timeline) extrait automatiquement les événements horodatés de centaines de sources (FS, registre, EVTX, navigateurs, $UsnJrnl…) pour produire une super timeline unifiée.

Pipeline

# 1. Extraction vers une base .plaso
log2timeline.py --storage-file timeline.plaso source.dd

# 2. Post-traitement / export
psort.py -o l2tcsv -w timeline.csv timeline.plaso

# 3. Filtrage
psort.py -o dynamic timeline.plaso \
  "date > datetime('2024-01-01T00:00:00')"

Analyse

Importer la base dans Timesketch pour explorer, taguer et corréler visuellement des millions d'événements. Filtrer par type de source (parser is 'winevtx') pour cibler l'enquête.

← Retour à la Knowledge Map