Timeline Forensique

Principe de la supertimeline

Une timeline forensique agrège en un référentiel unique, normalisé en UTC, l'ensemble des artefacts horodatés d'un système. Chaque ligne associe un timestamp, une source, un type d'événement et une description. Lorsque plusieurs dizaines de sources sont fusionnées et corrélées, on parle de supertimeline : elle permet de dépasser les seuls journaux d'événements, souvent incomplets ou purgés, en exploitant les traces indirectes laissées par le système d'exploitation. C'est le socle de toute investigation en forensic numérique et de la phase d'analyse d'un incident traité par un CSIRT.

Sources et artefacts exploités

• Système de fichiers : timestamps MACB issus de la $MFT NTFS, du $UsnJrnl (journal de changements) et du $LogFile
• Registre Windows : LastWrite des clés, ruches NTUSER.DAT, ShellBags, UserAssist, ShimCache et Amcache
• Journaux : Security (4624, 4688, 4672), System, PowerShell ScriptBlock et surtout Sysmon
• Exécution : Prefetch, SRUM, BAM/DAM, tâches planifiées et services
• Réseau et navigateur : historique, cache, téléchargements, journaux proxy, DNS et flux NetFlow
• Mémoire vive : processus et connexions actives extraits par analyse de dump RAM

Chaîne d'outillage

• Plaso / log2timeline : extraction multi-parseurs, filtrage via psort et export CSV ou Elasticsearch
• Timeline Explorer et la suite Eric Zimmerman (MFTECmd, RECmd, PECmd) : parsing ciblé et visualisation interactive
• Autopsy, Velociraptor, KAPE : collecte à distance et triage rapide sur parc étendu
• Indexation dans un SIEM pour croiser la timeline hôte avec la télémétrie EDR

Méthodologie d'analyse

L'analyste part d'un pivot connu — un IOC, une alerte, un fichier suspect — puis applique la technique du temporal proximity : examiner une fenêtre étroite autour de l'événement pour identifier les artefacts créés simultanément. On remonte ensuite vers le patient zéro pour établir le vecteur initial, et on descend pour tracer la persistance, l'escalade de privilèges, le mouvement latéral et l'exfiltration. Le résultat alimente la reconstitution du kill chain et le calcul du dwell time.

Limites et anti-forensics

Les attaquants pratiquent le timestomping (altération des timestamps $STANDARD_INFORMATION, détectable par comparaison avec $FILE_NAME), l'effacement de journaux (event 1102) et le nettoyage du Prefetch. Les décalages d'horloge, les fuseaux horaires et les biais de granularité des systèmes de fichiers imposent une normalisation rigoureuse. L'intégrité probatoire dépend enfin d'une chaîne de custody documentée et d'empreintes cryptographiques calculées avant toute manipulation.