Timeline Forensic — Reconstruction chronologique

Plaso Analyse

★★★★★

But

Construire une chronologie unifiée (super timeline) de tous les artefacts horodatés — système de fichiers, registre, logs, navigateurs — pour reconstituer le déroulé d'un incident.

Avec Plaso / log2timeline

# Extraction de tous les artefacts en base Plaso
log2timeline.py timeline.plaso disk.dd

# Conversion en CSV trié chronologiquement
psort.py -o l2tcsv -w timeline.csv timeline.plaso

# Filtrage par fenêtre temporelle
psort.py -o l2tcsv timeline.plaso \
  "date > '2024-01-01' AND date < '2024-01-02'"

Analyse

Repérer les rafales d'activité (exécution de malware, exfiltration), corréler création de fichiers et entrées de persistance, et utiliser Timesketch pour visualiser et annoter collaborativement la timeline.

← Retour à la Knowledge Map