Construindo Super Linhas do Tempo com Plaso

Apenas Uso Autorizado: Construa linhas do tempo apenas a partir de evidências que você está autorizado a analisar. Trabalhe a partir de imagens/cópias forenses e preserve a cadeia de custódia.

Visão Geral

Plaso (Plaso Langar Að Safna Öllu) é o motor de código aberto por trás do log2timeline, o padrão para construir super linhas do tempo forenses — uma única visão cronológica e normalizada que funde centenas de tipos de artefatos (tempos MACB do sistema de arquivos, registro, EVTX, histórico do navegador, prefetch, LNK, $UsnJrnl, syslog e mais) em uma única linha do tempo. Plaso possui três ferramentas CLI principais:

• log2timeline.py — extrai eventos de uma fonte (imagem de disco, ponto de montagem, diretório ou dispositivo) para um arquivo de armazenamento .plaso usando seu grande conjunto de parsers/plugins.
• pinfo.py — relata o conteúdo e os metadados de processamento de um arquivo .plaso.
• psort.py — pós-processa, filtra, deduplica, ajusta fusos horários e exporta o arquivo de armazenamento para um formato de saída (CSV, JSON-line, Elasticsearch, Timesketch, etc.).
• psteal.py — um wrapper de conveniência que executa extração + exportação em uma única etapa.

A linha do tempo resultante é enorme, então os analistas a triam no Timesketch — uma plataforma colaborativa de análise de linha do tempo baseada na web que ingere arquivos .plaso (ou CSV/JSONL) e suporta filtragem, marcação, favoritagem, pesquisas salvas e analisadores automatizados.

Quando Usar

• Reconstruir a sequência completa de eventos em um host comprometido durante a resposta a incidentes.
• Correlacionar atividade de várias fontes de artefatos em uma única linha do tempo normalizada.
• Investigar comportamento anti-forense, como timestomping ou limpeza de logs (que se destaca contra evidências MACB e de journal).
• Alimentar uma linha do tempo curada no Timesketch para triagem em equipe.

Pré-requisitos

• Instale o Plaso (Docker é o método suportado e reproduzível):

  docker pull log2timeline/plaso
  # Run a tool, mounting your evidence/output directory
  docker run -v /cases:/data log2timeline/plaso log2timeline.py --version
  

  Alternativamente no Ubuntu via PPA GIFT:

  sudo add-apt-repository ppa:gift/stable
  sudo apt-get update && sudo apt-get install -y plaso-tools
  

• Uma instância do Timesketch (implantação docker-compose de https://github.com/google/timesketch) para triagem.
• Uma imagem forense (E01/raw) ou sistema de arquivos montado.

Objetivos

• Extrair eventos de uma imagem para um arquivo de armazenamento .plaso.
• Inspecionar o arquivo de armazenamento com pinfo.
• Filtrar e exportar uma super linha do tempo focada com psort.
• Importar a linha do tempo para o Timesketch e fazer a triagem.

Mapeamento MITRE ATT&CK

Plaso é um motor de forense defensiva; o mapeamento reflete o comportamento adversário anti-forense que super linhas do tempo são bem adequadas para detectar.

Fluxo de Trabalho

1. Extrair eventos para um arquivo de armazenamento

log2timeline.py escreve um arquivo .plaso a partir de uma fonte. --storage-file nomeia a saída; a fonte pode ser uma .E01, imagem raw, ponto de montagem ou diretório.

log2timeline.py --storage-file timeline.plaso /cases/greendale/image.E01

Escope os parsers para velocidade/relevância com --parsers (presets como win7, webhist, ou nomes de parsers explícitos):

log2timeline.py --parsers "win7,!filestat" --storage-file timeline.plaso /cases/image.E01

2. Inspecionar o arquivo de armazenamento

pinfo.py relata a fonte, parsers usados, contagem de eventos e quaisquer avisos.

pinfo.py timeline.plaso

3. Exportar uma super linha do tempo filtrada (CSV)

psort.py seleciona um módulo de saída com -o, escreve com -w, normaliza o fuso horário com --output-time-zone e aceita uma expressão de filtro de eventos para delimitar um intervalo de datas.

psort.py --output-time-zone 'UTC' \
  -o l2tcsv \
  -w supertimeline.csv \
  timeline.plaso \
  "date > datetime('2026-01-01T00:00:00') AND date < datetime('2026-01-27T00:00:00')"

Para linhas JSON amigáveis ao Timesketch, use o módulo de saída json_line:

psort.py --output-time-zone 'UTC' -o json_line -w supertimeline.jsonl timeline.plaso

4. Extração + exportação em uma etapa com psteal

psteal.py executa extração e exportação CSV juntas para triagem rápida.

psteal.py --source /cases/greendale/image.E01 -o l2tcsv -w supertimeline.csv

…