1. TIMESHARK: Uno strumento per la visualizzazione
e l’analisi delle supertimelines
Relatore: Federico Grattirio

2. Indice:
Introduzione Architettura Sviluppi
Cos’è una timeline ?
A cosa serve ?
Dove posso trovare le
informazioni ?
Come ottenere una
timeline ?
Analisi e problemi
Tool disponibili
Timeshark
Case of study

3. Timeline nelle analisi forensi
● Metodo rapido e intuitivo per comprendere la sequenza degli eventi
avvenuti in una determinata finestra temporale
● Ricostruire le attività di un utente o di un intruso
● Ricostruire le fasi di un attacco informatico
● Individuare il punto di compromissione originale
● Individuare le cause di un incidente
● Evidenziare incongruenze sintomo di attività illecite o antiforensics
● Gli eventi provengono da una pluralità di fonti eteronegee
● Gli eventi di natura digitale sono registrati in quantità tali da richiedere
necessariamente una trattazione automatizzata
● Raccogliere una ricca base dati è ormai relativamente semplice…
● …elaborarla invece no
Introduzione Architettura SviluppiCase of study

4. Dove posso trovare le informazioni ?
● Filesystem
Introduzione Architettura SviluppiCase of study

5. Dove posso trovare le informazioni ?
● Filesystem
● File di log (sistema e applicazioni)
Introduzione Architettura SviluppiCase of study

6. Dove posso trovare le informazioni ?
● Filesystem
● File di log (sistema e applicazioni)
● Cronologia e cache dei browser
Introduzione Architettura SviluppiCase of study

7. Dove posso trovare le informazioni ?
● Filesystem
● File di log (sistema e applicazioni)
● Cronologia e cache dei browser
● Metadati interni ai documenti
Introduzione Architettura SviluppiCase of study

8. Dove posso trovare le informazioni ?
● Filesystem
● File di log (sistema e applicazioni)
● Cronologia e cache dei browser
● Metadati interni ai documenti
● ...e molti altri, anche esterni al sistema in esame
● log dei provider, tabulati telefonici, sistemi di videosorveglianza…
Introduzione Architettura SviluppiCase of study

9. Come ottenere una timeline ?
Introduzione Architettura SviluppiCase of study

10. Analisi e problemi
● Grandi moli di dati
○ Timeline derivanti dal solo journal NTFS possono avere dai 500.000 a
2.000.000 eventi
● Grande varietà di formati in input
○ I timestamp sono registrati in formati diversi, che variano da sistema
operativo, filesystem, applicazioni…
○ Le timeline possono provenire dai report di diversi tool di
acquisizione o carving
○ Gli eventi possono essere stati registrati da diversi sistemi, con diversi
fusi orari o time skew rilevanti
● Complessità di visualizzazione
● Complessità di analisi
Introduzione Architettura SviluppiCase of study

11. Tool disponibili - Autopsy
Introduzione Architettura SviluppiCase of study
• Open source
• Funzione ancora in beta (e si vede…)
• Base dati limitata al filesystem
• Accesso diretto alla sorgente dell’evento
• Non permette di applicare filtri alla timeline
• Non permette di evidenziare gli eventi
• Disponibile solo per Windows e DEFT

12. Tool disponibili – Kibana
Introduzione Architettura SviluppiCase of study
• Open source e web based
• Interfacciabile con Plaso/log2timeline
• Altamente scalabile
• Non disegnato specificamente per analisi forensi
• Nessun accesso alla sorgente

13. Tool disponibili – 4n6time
Introduzione Architettura SviluppiCase of study
• Non è open source 
• Buona integrazione coi backend
• Interfaccia molto evoluta, ma ancora difettosa (navigazione visuale, accesso
alla sorgente, gestione filtri, paginazione…)
• Strumento potente, ma non adattabile

14. Tool disponibili – Aftertime
Introduzione Architettura SviluppiCase of study
• Sorgenti chiusi
• Licenza d’uso fortemente limitante
• Ottimo supporto agli artefatti, ma non estensibile
• Interfaccia intuitiva, ma non priva di difetti (accesso alla sorgente,
bookmark…)
• Tempi di reazione insoddisfacenti

15. Tool disponibili - FTK
Introduzione Architettura SviluppiCase of study
• Raccolta dati basata su log2timeline
• Accesso diretto alla sorgente
• Interfaccia grafica scarsamente produttiva
• Software proprietario
• Disponibile solo per Windows

16. Tool disponibili - Encase
Introduzione Architettura SviluppiCase of study
• Interfaccia limitata, ma molto reattiva
• Accesso diretto alla sorgente dell’evento
• Base dati limitata ai timestamp del filesystem
• Reportistica inadeguata
• Software proprietario
• Disponibile solo per Windows

17. Tool disponibili - Webscavator
Introduzione Architettura SviluppiCase of study
• Open source
• Ottima interfaccia
• Filtri preconfigurati e report intuitivi
• Permette solo l’analisi di timeline derivanti da navigazione web

18. Tool disponibili - IEF
Introduzione Architettura SviluppiCase of study
• Lunghi tempi di caricamento
• Interfaccia molto reattiva
• Base dati ampia, ma comunque limitata ai risultati di IEF
• Software proprietario
• Disponibile solo per Windows

19. Timeshark
● Open source
● Multipiattaforma
● Tempi di risposta adeguati anche con grandi moli di dati
● Interfaccia punta e clicca, intuitivo, semplicità di utilizzo
● Possibilità di segnalare eventi sospetti
● Possibilità di aggregare più eventi
● Possibilità di filtrare e colorare gli eventi
● Possibilità di personalizzazione del software
Introduzione Architettura SviluppiCase of study

20. Indice:
Introduzione Architettura Sviluppi
Struttura generale
Plugin
Tecnologie
Case of study

21. Struttura generale
● Model: Gestione dei dati presenti nel
database
● View: Gestione della visualizzazione dei
dati
● Controller: Gestione della elaborazione
dei dati
● Plugin managers: Gestione dei plugin
Introduzione Architettura SviluppiCase of study

22. Plugin
● Caricati dinamicamente all’avvio di Timeshark
● Plugin scanner -> Permettono l’interpretazione di file in input
● Plugin filtro -> Permettono la creazione di filtri standard
● Plugin di visualizzazione -> Permettono la creazione di svariati punti di vista
sul database
● Plugin di export -> Permettono l’esportazione dei dati nel formato desiderato
Introduzione Architettura SviluppiCase of study

23. Tecnologie
● Python
○ Linguaggio di programmazione multipiattaforma
● Librerie Qt
○ Librerie grafiche multipiattaforma per lo sviluppo di interfacce grafiche
● SqLite
○ Libreria software per la creazione di un database relazionale
Introduzione Architettura SviluppiCase of study

24. Indice:
Introduzione Architettura SviluppiCase of study

25. Case of study
Dati:
● Journal derivato da partizione NTFS
Obiettivo:
● Ricavare eventi compresi tra le ore 07:27 e le ore 07:30
● Evidenziare gli eventi di creazione file
● Segnalare tramite tag gli eventi che comprendono solo il tipo “file_created”
Workflow:
Creazione
analisi
Aggiunta file Aggiunta filtri Aggiunta tag
Introduzione Architettura SviluppiCase of study

26. Creazione analisi
Introduzione Architettura SviluppiCase of study

27. Creazione analisi
Introduzione Architettura SviluppiCase of study

28. Aggiunta file
Introduzione Architettura SviluppiCase of study

29. Aggiunta file
Introduzione Architettura SviluppiCase of study

30. Aggiunta filtro
Introduzione Architettura SviluppiCase of study

31. Aggiunta filtro
Introduzione Architettura SviluppiCase of study

32. Aggiunta filtro
Introduzione Architettura SviluppiCase of study

33. Aggiunta filtro
Introduzione Architettura SviluppiCase of study

34. Aggiunta tag
Introduzione Architettura SviluppiCase of study

35. Aggiunta tag
Introduzione Architettura SviluppiCase of study

36. Export data
Introduzione Architettura SviluppiCase of study

37. Results
Introduzione Architettura SviluppiCase of study

38. Indice:
Introduzione Architettura SviluppiCase of study

39. Sviluppi
Sviluppi:
● Creazione di plugin di visualizzazione grafica delle timeline
● Creazione di plugin di visualizzazione di statistiche/sessioni presenti nei dati
analizzati
● Creazione di plugin per l’importazione dei più comuni file derivanti da tool di
estrazione e carving
● Creazione di plugin per l’esportazione in formato xml (con xsl)
● Link diretto alla sorgente dell’evento
Introduzione Architettura SviluppiCase of study

40. Introduzione Architettura SviluppiCase of study
Timeshark v. 0.1
Contatti:
• Federico grattirio
<federico.grattirio@gmail.com>
Acknowledgement:
• Antonio Barili
• Davide Gabrini
Domande ?