タイムライン分析

ファイルシステム、レジストリ、ログ、アプリケーションの各アーティファクトのタイムスタンプを突き合わせ、システムイベントを時系列に再構成するフォレンジック手法。

タイムライン分析は、MFT エントリ、$LogFile、プリフェッチ、レジストリハイブ、ブラウザ履歴、イベントログ、アプリ痕跡などのタイムスタンプ付きアーティファクトを統合し、何がいつどの順序で起きたかを示す統一的な時系列ビューを作成します。実務では Plaso/log2timeline で「スーパータイムライン」を生成し、Timeline Explorer、Timesketch、ELK などでトリアージするのが一般的です。本手法はインシデントの範囲確定、初期侵入・横展開・情報窃取の特定、そして説明可能な調査結果を構築するうえで不可欠です。誤った結論を避けるため、時計のずれ、タイムゾーンの正規化(通常 UTC)、攻撃者によるタイムスタンプ改ざんを必ず考慮する必要があります。