Bereich 09
Eine Zeitleiste macht aus verstreuten Artefakten eine Geschichte. Dieser Bereich behandelt Body-Files und mactime, log2timeline und psort von Plaso mit den relevanten Linux-Parsern, die Normalisierung auf UTC und das Pivotieren von einem bekannten Ankerereignis.
Wichtige Artefakte
Diese Leitfäden sind derzeit nur auf Englisch verfügbar. Die folgenden Links öffnen die englische Fassung.
Build a Linux forensic super timeline with TSK mactime and Plaso: log2timeline, psort and pinfo, Linux parsers, time slicing, UTC and Timesketch.
Wo jedes Artefakt liegt, was es belegt, seine Zeitstempel und die Tools zur Auswertung.