12 · Analyse de chronologie
Construire une super timeline avec Plaso
Construire et filtrer une super timeline Windows avec Plaso : options de log2timeline, psteal et psort, fuseaux, MACB, Timeline Explorer, CSV EZ Tools, pivots.
Domaine 12
Analyse de chronologie
C'est dans la chronologie que les artefacts deviennent un récit. Ce domaine couvre la construction de super-chronologies avec Plaso, les mini-chronologies ciblées à partir des sorties EZ Tools, la normalisation des fuseaux horaires, la sémantique MACB et les réflexes de pivot qui transforment des milliers de lignes en une séquence d'événements défendable.
Sources clés
- Plaso
- Timeline Explorer
- MACB
Guides de ce domaine
Fiches artefacts
Emplacement selon la version de Windows, ce que prouve chaque artefact, ses horodatages et les outils pour l'analyser.
- Table de fichiers maîtres ($MFT)Fiche $MFT : enregistrements FILE, horodatages $SI et $FN, données résidentes, entrées supprimées, numéros de séquence, timestomping et MFTECmd.
- Journal USN ($UsnJrnl:$J)Fiche journal USN : $UsnJrnl:$J et $Max, champs, indicateurs Reason, référence parent, taille par défaut, rotation, fsutil et analyse avec MFTECmd.
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Fichiers Prefetch (.pf)Fiche Prefetch Windows : emplacement des .pf par version, nombre d'exécutions, huit dernières dates, fichiers référencés, rétention et analyse.
- SRUM (System Resource Usage Monitor)Fiche SRUM : tables et GUID de SRUDB.dat, octets réseau et temps CPU par application, enregistrements horaires UTC, rétention de 30 à 60 jours, réparation ESE.
- Journal d'événements SysmonFiche Sysmon : emplacement du journal Operational, ID d'événements clés, corrélation ProcessGuid et hash, config dans le registre, altérations et outils.