Linha do Tempo Forense de Competição

Use esta habilidade apenas como uma especialização posterior, depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade de nós e prioridades de evidências. Se isso ainda não aconteceu, retorne para $ctf-sandbox-orchestrator primeiro.

Use esta habilidade quando a parte difícil não for encontrar um artefato, mas transformar muitos artefatos em uma cronologia reproduzível.

Início Rápido

1. Escolha a menor âncora confiável: primeira execução, primeiro logon, primeira sessão de rede, primeira escrita de arquivo ou primeira ação de caixa de correio.
2. Normalize carimbos de data/hora, fusos horários, nomes de host, usuários, IDs de processo, IDs de mensagem e caminhos de arquivo antes de correlacionar.
3. Construa uma cadeia mínima de acesso inicial à persistência, execução, acesso ou exfiltração.
4. Separe a ordem confirmada dos eventos das lacunas inferidas.
5. Reproduza o segmento de linha do tempo decisivo que gera o artefato ou a conclusão de privilégio.

Fluxo de Trabalho

1. Estabelecer Âncoras da Linha do Tempo

• Colete apenas as superfícies ativas: EVTX, Sysmon, registro, Amcache, prefetch, artefatos de navegador, rastros de e-mail, PCAPs, memória ou metadados do sistema de arquivos.
• Registre a fonte do relógio, o fuso horário e qualquer desvio ou truncamento que possa reordenar eventos.
• Vincule identificadores compartilhados entre fontes: PID, ID de logon, GUID, ID de mensagem, nome de host, nome de usuário, IP ou hash.

2. Correlacionar o Gráfico de Execução

• Rastreie a árvore de processos, criação de serviços ou tarefas, sessões de rede, gravações de arquivos, alterações de registro, regras de caixa de correio ou uso de tokens como um único caminho.
• Distinga arestas causais de coincidência combinando identificadores e adjacência, não apenas carimbos de data/hora próximos.
• Mantenha o artefato bruto e o resumo analisado lado a lado para que cada etapa possa ser rastreada.

3. Comprimir para a História Decisiva

• Reduza a linha do tempo à menor sequência que comprove o acesso inicial, persistência, movimento lateral, coleta ou recuperação de artefatos.
• Destaque as etapas de validação ausentes separadamente em vez de misturá-las na cronologia confirmada.
• Se a tarefa se tornar principalmente sobre extração de configuração de malware ou uma aresta de pivô do Windows, mude para a habilidade especializada mais restrita.

Leia esta Referência

• Carregue references/forensic-timeline.md para seleção de âncora, correlação entre fontes e empacotamento de evidências.
• Se a parte difícil for remontagem de pacotes, enquadramento de protocolo ou extração de objetos transferidos de uma captura, prefira $competition-pcap-protocol.

O Que Preservar

• Caminhos de arquivo de origem, IDs de evento, IDs de logon, IDs de mensagem, PIDs, hashes e carimbos de data/hora com fuso horário anotado
• Uma tabela de linha do tempo compacta ou lista ordenada para o segmento decisivo
• Artefatos brutos, saída analisada e arestas inferidas mantidas separadas