ディスクイメージからタイムライン解析が実施できる。
タイムライン解析用ツール
plaso / log2timeline
オープンソースＵＲL
https://github.com/log2timeline/plaso/
タイムライン解析用コマンドツールであり。様々なファイルから、タイムラインを作成できる。
手順
①「log2timeline」で、対象ファイル（フォルダ）やイメージファイル（保全した端末）からデータベース（中間ファイル）＝「plaso storage」を生成
②「psort」でデータベース（中間ファイル） ＝「plaso storage」 からタイムラインを作成
基本コマンド
① log2timeline –parsers 「プラグイン名」 「出力ファイル名（plaso storage）」 「解析対象ファイル名」
② psort -z 「タイムゾーン」 -o 「出力形式」 -w 「出力形式」 「出力ファイル名」 「plaso storage（①で出力したファイル）」 「期間指定」
コマンド＞ log2timeline –parsers filestat test.plaso image.dd
filestat；ファイルのタイムスタンプを解析する「filestat」プラグインを実行
testdb：「test.db」というファイル名で「plaso storage」を出力
image.dd：解析対象として、ディスクイメージ「image.dd」を指定（※フォルダの指定も可）
コマンド＞ psort -z Japan -o tln -w timeline.txt test.plaso ”date < ‘2020-01-01 10:00:00’ and date > ‘2020-01-02 10:00:00’ “
-z Japan：日時情報を日本時間（JST）で表示
-w timeline.txt：「timeline.txt」というファイル名でタイムラインを出力
test.plaso：先ほど作った「plaso storage」のファイル名
“date ～”：指定した期間のタイムラインのみを出力
（2020年１月１日10時～２日10時：日時はUTC(日本時間-9時間)で指定すること）
コメント