Glossaire
Super timeline
Une vue chronologique unique fusionnant les horodatages du système de fichiers, du Registre, des journaux et d'autres artefacts, souvent via Plaso.
Une super timeline (ou super-chronologie) fusionne les horodatages de nombreuses sources de preuves en une seule vue chronologique. Au lieu d'examiner séparément le système de fichiers, le Registre, les journaux d'événements, le Prefetch et l'historique de navigation, l'analyste voit tous les événements côte à côte, triés par date : un fichier créé dans la $MFT, le LastWrite d'une clé Run, une ouverture de session dans les journaux d'événements Windows et un téléchargement dans l'historique du navigateur peuvent tous apparaître dans la même minute.
L'outil open source de référence est Plaso : log2timeline extrait les événements d'une image disque ou d'une collecte de triage vers un fichier de stockage, et psort les filtre et les exporte, par exemple en CSV ou vers Timesketch pour une revue collaborative. Le guide pas à pas construire une super timeline avec Plaso détaille la démarche.
Les super timelines sont puissantes mais bruyantes. Un système Windows complet produit facilement des millions de lignes, pour l'essentiel de l'activité ordinaire. Partez de points pivots connus — l'heure d'une alerte, un fichier malveillant, une connexion suspecte — et filtrez par fenêtre temporelle et par source. Normalisez tout en UTC (voir UTC et heure locale) et rappelez-vous que chaque source a sa propre sémantique : les horodatages MACB de la $MFT ne signifient pas la même chose qu'un LastWrite du Registre. Beaucoup d'analystes combinent une chronologie ciblée sur quelques sources à forte valeur avec la super timeline pour le contexte.