Forensic Timeline 是什麼？

簡單來說，就是把系統中不同 Artifact 的時間資訊整理成一條時間線。

原本分散在不同地方的紀錄，整理之後就能比較容易看出事件發生的順序。

假設我們調查一台疑似被入侵的電腦。

找到以下資料：

09:17  Browser Downloads
       下載 update.exe
       
09:15  Browser History
       造訪 suspicious.com
       
09:20  Prefetch
       update.exe 出現執行相關紀錄

09:18  File Metadata
       update.exe 建立

09:22  Network Connection
       update.exe 建立對外連線

把它們整理後放在一起：

09:15 ── 造訪網站
   ↓
09:17 ── 下載 update.exe
   ↓
09:18 ── 檔案出現
   ↓
09:20 ── 出現執行相關線索
   ↓
09:22 ── 建立網路連線

就比單獨看到一筆 History 或一個檔案更有意義。

可以進一步思考：

這個檔案從哪裡來？
什麼時候出現？
有沒有執行？
執行後做了什麼？

時間不能看到就直接相信

時間資訊可能受到：

• 使用者操作
• 系統設定
• 時區
• 程式行為
• 檔案複製或移動
• Artifact 本身的紀錄方式

影響，所以還需要搭配其他證據判斷。

Timeline 的真正用途

Timeline 並不是單純把資料按照時間排序而已。

真正的目的，是找出：

不同 Artifact 之間有沒有互相對得上。

例如：

Browser
   ↓
下載檔案
   ↓
File System
   ↓
檔案出現
   ↓
Prefetch
   ↓
程式執行
   ↓
Network
   ↓
建立連線

如果多個獨立來源都指向相近的時間與事件，對還原事件就會更有幫助。

小結

Timeline Analysis：把分散的證據串起來，還原事件發生的順序。