Entry № 1281
时间线分析
时间线分析 是什么?
时间线分析一种取证技术,通过关联文件、日志和其他工件的时间戳,重建系统上事件的时间顺序。
时间线分析将文件系统元数据(MACB 时间)、事件日志、注册表蜂巢、浏览器历史、预读文件和应用程序痕迹中的带时间戳数据汇总成一个有序视图。调查人员据此判断入侵何时开始、哪些文件被创建或修改、攻击者如何在环境中横向移动。常用工具包括能生成超级时间线的 log2timeline/Plaso,以及 Autopsy、MFTECmd 和 KAPE。分析师必须考虑时区偏移、时钟漂移和时间戳篡改,并使用多源相互验证。时间线重建是 NIST SP 800-86 事件响应流程的核心环节。
● 示例
- 01
对一台被入侵的 Windows 服务器构建 Plaso 超级时间线,以识别恶意二进制文件的首次执行时间。
- 02
将 EVTX 登录事件与 $MFT 创建时间关联,以确认横向移动。
● 常见问题
时间线分析 是什么?
一种取证技术,通过关联文件、日志和其他工件的时间戳,重建系统上事件的时间顺序。 它属于网络安全的 取证与应急响应 分类。
时间线分析 是什么意思?
一种取证技术,通过关联文件、日志和其他工件的时间戳,重建系统上事件的时间顺序。
如何防御 时间线分析?
针对 时间线分析 的防御通常结合技术控制与运营实践,详见上方完整定义。
时间线分析 还有哪些其他名称?
常见的别称包括: 超级时间线分析, 取证时间线。