Super Timeline Forensics

Définition

La super timeline forensique est une timeline unifiée intégrant des timestamps de sources multiples en une vue chronologique cohérente, permettant de reconstituer avec précision la séquence des événements d'un incident. Elle combine les timestamps des systèmes de fichiers (MAC times), des journaux d'événements, des artefacts du registre, des logs applicatifs, et d'autres sources forensiques en un seul flux ordonné. L'outil de référence pour la création de super timelines est log2timeline/Plaso (développé par Kristinn Gudjonsson, maintenant maintenu par la communauté DFIR). Plaso collecte automatiquement les timestamps de nombreuses sources : NTFS/FAT MFT, Windows Event Logs (EVTX), ruches de registre Windows (avec les LastWriteTime de chaque clé), préfetch files, LNK files, Jump Lists, history de navigateurs (Chrome, Firefox, IE, Edge), journaux syslog Linux, access logs Apache, et bien d'autres. Toutes ces sources sont converties dans un format unifié et triées chronologiquement. Le workflow typique avec Plaso comprend : log2timeline.py -z UTC source.E01 output.plaso (analyse d'une image forensique avec extraction de tous les timestamps), puis psort.py -o L2tcsv output.plaso > timeline.csv (export en CSV trié). La timeline résultante peut contenir des millions d'événements pour une image disque complète, nécessitant des outils de filtrage et d'analyse comme Timeline Explorer (Eric Zimmerman) pour la navigation efficace. La super timeline est particulièrement utile pour corréler des activités qui ne seraient pas apparentes dans les sources individuelles : un exécutable créé à T, un accès Prefetch à T+1 minute, un Event Log d'exécution de processus à T+1 minute, et un accès réseau dans Zeek logs à T+2 minutes peuvent tous être liés dans la super timeline pour reconstituer la chaîne d'attaque. La normalisation des fuseaux horaires est critique pour les super timelines. Plaso stocke tous les timestamps en UTC et les convertit à partir des fuseaux horaires configurés dans les sources. La timezone du système analysé (extraite de la ruche SYSTEM) est essentielle pour l'interprétation correcte des timestamps Windows qui sont en heure locale.