Communitygithub.com

construção-de-linha-do-tempo-de-incidentes-com-timesketch

Construa linhas do tempo forenses colaborativas de incidentes usando o Timesketch para ingestão e análise.

O que é construção-de-linha-do-tempo-de-incidentes-com-timesketch?

Esta habilidade ensina a construir e usar linhas do tempo forenses colaborativas de incidentes com o Timesketch, uma ferramenta de análise forense de código aberto desenvolvida pelo Google. Ela permite que equipes de segurança visualizem e analisem dados cronológicos de várias fontes durante investigações de incidentes, como logs de endpoints, servidores e serviços em nuvem. A habilidade abrange desde a implantação e ingestão de dados (usando Plaso, CSV, JSONL ou regras Sigma) até a análise avançada com analisadores integrados, criação de histórias de investigação e automação via API. O Timesketch se integra ao OpenSearch/Elasticsearch para armazenamento e busca, e oferece suporte a investigações colaborativas em tempo real, mapeamento para MITRE ATT&CK e exportação de relatórios. É útil para analistas de segurança forense, respondedores de incidentes e equipes de SOC que precisam organizar grandes volumes de evidências em uma linha do tempo coesa e acionável.

Funciona com~Claude Code~Codex CLI~Cursor
npx skills add https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/main/skills/building-incident-timeline-with-timesketch
Ver original→Navegar por todas as habilidades

Perguntar na sua IA favorita

Abre um novo chat com esta habilidade de agente já pré-carregada.

OpenAIChatGPTClaudeClaudeGeminiGeminiGrokGrokPerplexityPerplexityDeepSeekDeepSeek

Documentação

Construção de Linha do Tempo de Incidentes com Timesketch

Visão Geral

O Timesketch é uma ferramenta de análise forense colaborativa de código aberto desenvolvida pelo Google que permite que equipes de segurança visualizem e analisem dados cronológicos de várias fontes durante investigações de incidentes. Ele ingere logs e artefatos de endpoints, servidores e serviços em nuvem, normaliza-os em uma linha do tempo unificada pesquisável e fornece recursos poderosos de análise, incluindo analisadores integrados, marcação, anotações em esboços e criação de histórias. O Timesketch se integra ao Plaso (log2timeline) para análise de artefatos e suporta ingestão direta de CSV/JSONL para construção rápida de linhas do tempo durante incidentes ativos.

Quando Usar

  • Ao implantar ou configurar recursos de construção de linha do tempo de incidentes com timesketch em seu ambiente
  • Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
  • Ao construir ou melhorar a arquitetura de segurança para este domínio
  • Ao realizar avaliações de segurança que exijam esta implementação

Pré-requisitos

  • Familiaridade com conceitos e ferramentas de resposta a incidentes
  • Acesso a um ambiente de teste ou laboratório para execução segura
  • Python 3.8+ com as dependências necessárias instaladas
  • Autorização apropriada para quaisquer atividades de teste

Arquitetura e Componentes

Componentes Principais

  • Servidor Timesketch: Aplicação web com API REST para gerenciamento de linhas do tempo
  • OpenSearch/Elasticsearch: Armazenamento backend e mecanismo de busca para eventos da linha do tempo
  • PostgreSQL: Armazenamento de metadados para esboços, histórias e dados de usuário
  • Redis: Gerenciamento de fila de tarefas para processamento em segundo plano
  • Workers Celery: Processamento assíncrono de uploads de linhas do tempo e analisadores

Fluxo de Dados

Fontes de Evidência --> Plaso/log2timeline --> Arquivo de armazenamento Plaso (.plaso)
     |                                                |
     v                                                v
  CSV/JSONL --> Importador Timesketch --> Índice OpenSearch
                                                |
                                                v
                                         Interface Web Timesketch
                                         (Pesquisar, Analisar, História)

Implantação

Implantação Docker (Recomendada)

# Clonar repositório Timesketch
git clone https://github.com/google/timesketch.git
cd timesketch

# Executar script auxiliar de implantação
cd docker
sudo docker compose up -d

# Acesso padrão: https://localhost:443
# Credenciais de administrador geradas durante a primeira execução

Requisitos de Sistema

  • Mínimo 8 GB de RAM (16+ GB recomendado para investigações grandes)
  • Mínimo 4 núcleos de CPU
  • Armazenamento SSD para índices do OpenSearch
  • Docker e Docker Compose instalados

Métodos de Ingestão de Dados

Método 1: Integração com Plaso (Abrangente)

# Processar imagem de disco com log2timeline
log2timeline.py --storage-file evidencia.plaso /caminho/para/imagem/disco

# Processar logs de eventos do Windows
log2timeline.py --parsers winevtx --storage-file windows_eventos.plaso /caminho/para/evtx/

# Processar múltiplas fontes de evidência
log2timeline.py --parsers "winevtx,prefetch,amcache,shimcache,userassist" \
  --storage-file analise_completa.plaso /caminho/para/imagem/montada/

# Importar arquivo Plaso no Timesketch
timesketch_importer -s "Caso-2025-001" -t "Endpoint-WKS01" evidencia.plaso

Método 2: Importação CSV (Ingestão Rápida)

message,datetime,timestamp_desc,source,hostname
"Login de usuário detectado","2025-01-15T08:30:00Z","Evento Registrado","Log de Segurança","DC01"
"Execução do PowerShell","2025-01-15T08:31:15Z","Evento Registrado","PowerShell","WKS042"

# Importar CSV diretamente
timesketch_importer -s "Caso-2025-001" -t "Triagem-Rápida" events.csv

Método 3: Importação JSONL (Dados Estruturados)

{"message": "Logon suspeito de 10.1.2.3", "datetime": "2025-01-15T08:30:00Z", "timestamp_desc": "Evento Registrado", "source_short": "Segurança", "hostname": "DC01"}

Método 4: Integração de Regras Sigma

# Enviar regras Sigma para detecção automatizada
timesketch_importer --sigma-rules /caminho/para/regras/sigma/

Fluxo de Análise

Etapa 1: Criar Esboço de Investigação

1. Faça login na interface web do Timesketch
2. Crie um novo esboço (caso de investigação)
3. Adicione linhas do tempo relevantes ao esboço
4. Defina a descrição e as tags do esboço

Etapa 2: Executar Analisadores Integrados

O Timesketch inclui analisadores que identificam automaticamente:

  • Analisador de Pesquisa do Navegador: Extrai consultas de pesquisa do histórico do navegador
  • Analisador de Cadeia de Eventos: Vincula eventos relacionados (download -> execução)
  • Analisador de Domínio: Extrai e categoriza nomes de domínio
  • Analisador de Extração de Recursos: Identifica IPs, URLs, hashes
  • Analisador de Geolocalização: Mapeia eventos para localizações geográficas
  • Pontuação de Similaridade: Encontra eventos semelhantes entre linhas do tempo
  • Analisador Sigma: Corresponde eventos a regras de detecção Sigma
  • Localizador de Contas: Identifica padrões de atividade de contas de usuário
  • Marcador: Aplica rótulos com base em regras predefinidas

Etapa 3: Pesquisar e Filtrar

# Exemplos de pesquisa na linguagem de consulta do Timesketch

# Encontrar todos os eventos relacionados a um usuário específico
source_short:Security AND message:"joao.admin"

# Encontrar eventos de execução do PowerShell
data_type:"windows:evtx:record" AND event_identifier:4104

# Encontrar indicadores de movimento lateral
source_short:Security AND event_identifier:4624 AND xml_string:"LogonType\">3"

# Encontrar eventos dentro de um intervalo de tempo específico
datetime:[2025-01-15T00:00:00 TO 2025-01-15T23:59:59]

# Encontrar eventos de criação de arquivo
data_type:"fs:stat" AND timestamp_desc:"Creation Time"

# Pesquisar com tags
tag:"suspeito" OR tag:"movimento_lateral"

Etapa 4: Construir História de Investigação

1. Crie uma nova história dentro do esboço
2. Adicione visualizações de pesquisa que suportem cada descoberta
3. Anote eventos-chave com notas do investigador
4. Vincule eventos a técnicas do MITRE ATT&CK
5. Documente a narrativa do ataque cronologicamente
6. Exporte a história para inclusão no relatório de incidente

Recursos Avançados

Investigação Colaborativa

  • Vários analistas trabalham no mesmo esboço simultaneamente
  • Comentários e anotações persistem nos eventos
  • Pesquisas salvas compartilhadas pela equipe
  • Histórias de investigação documentam descobertas no contexto

Automação via API

from timesketch_api_client import config
from timesketch_api_client import client as ts_client

# Conectar ao Timesketch
ts = ts_client.TimesketchApi(
    host_uri="https://timesketch.local",
    username="analista",
    password="senha"
)

# Obter esboço
sketch = ts.get_sketch(1)

# Pesquisar eventos
search = sketch.explore(
    query_string='event_identifier:4624 AND LogonType:3',
    return_fields='datetime,message,hostname,source_short'
)

# Adicionar tags a eventos
for event in search.get('objects', []):
    sketch.tag_event(event['_id'], ['movimento_lateral'])

Integração com Dissect

# Usar Dissect para análise mais rápida de artefatos (alternativa ao Plaso)
target-query -f timesketch://timesketch.local/caso-001 \
  targets/hostname/ -q "windows.evtx" --limit 0

Principais Fontes de Dados para Construção de Linha do Tempo

FonteAnalisadorValor de Evidência
Logs de Eventos do Windows (.evtx)winevtxAutenticação, execução de processos, serviços
Arquivos PrefetchprefetchHistórico de execução de programas
MFT ($MFT)mftAtividade do sistema de arquivos
Hives do RegistrowinregConfiguração do sistema, persistência
Histórico do Navegadorchrome/firefoxAtividade na web, downloads
SyslogsyslogEventos de dispositivos Linux/rede
Logs CloudTrailjsonlAtividade da API AWS
Logs de Atividade do AzurejsonlOperações de recursos do Azure
Logs de Firewallcsv/jsonlConexões de rede
Logs de Proxycsv/jsonlTráfego HTTP/HTTPS

Mapeamento MITRE ATT&CK

TécnicaIndicadores na Linha do Tempo
Acesso Inicial (TA0001)Primeiro evento malicioso, recebimento de e-mail de phishing
Execução (T1059)Eventos PowerShell/CMD, criação de processo
Persistência (TA0003)Modificações no registro, tarefas agendadas, serviços
Movimento Lateral (TA0008)Logons remotos, conexões SMB, sessões RDP
Exfiltração (TA0010)Grandes transferências de dados, uploads para armazenamento em nuvem

Referências

Individual skills in this repo

This repo contains 20 individual skills — each has its own dedicated page.

abusing-dpapi-for-credential-access

Extract and decrypt Windows DPAPI-protected secrets (Credential Manager, browser logins/cookies, Wi-Fi credentials, KeePass keys) online or offline using SharpDPAPI, SharpChrome, Mimikatz, or Impacket

abusing-shadow-credentials-for-privesc

Take over Active Directory accounts by writing attacker-controlled public keys to msDS-KeyCredentialLink (Shadow Credentials) with pyWhisker, Whisker, or Certipy, then authenticate via PKINIT to recover the target

achieving-cmmc-level-2-compliance

>-

acquiring-disk-image-with-dd-and-dcfldd

Create forensically sound bit-for-bit disk images with dd or dcfldd on a Linux forensic workstation, preserving evidence integrity through hash verification (MD5/SHA) during acquisition. Use when imaging a suspect drive, USB device, or memory card for investigation, preserving volatile disk evidence during incident response, or producing a verified copy for legal or law-enforcement proceedings before any destructive analysis.

analyzing-active-directory-acl-abuse

Detect dangerous ACL misconfigurations in Active Directory using ldap3

analyzing-android-malware-with-apktool

Perform static analysis of Android APK malware using apktool for resource decompilation, jadx for Java source recovery, and androguard for manifest inspection, dangerous permission-combination detection, and identification of obfuscated code, dynamic code loading, and reflection-based API calls. Use to statically triage a suspicious APK without executing it or to build mobile malware detection rules.

analyzing-api-gateway-access-logs

Parses API Gateway access logs (AWS API Gateway, Kong, Nginx) to detect

analyzing-apt-group-with-mitre-navigator

Query ATT&CK data with attackcti, mitreattack-python, and stix2, then build MITRE ATT&CK Navigator layers and multi-layer heatmap overlays mapping one or more APT groups

analyzing-azure-activity-logs-for-threats

Queries Azure Monitor activity logs and sign-in logs via azure-monitor-query

analyzing-bootkit-and-rootkit-samples

Analyzes bootkit and advanced rootkit malware infecting the Master

analyzing-browser-forensics-with-hindsight

Parse Chromium-based browser databases with Hindsight to extract and correlate browsing history, downloads, cookies, cached content, autofill data, saved passwords, and extensions from Chrome, Edge, Brave, Opera, and Vivaldi into a unified timeline (XLSX, JSON, or SQLite output). Use during incident response, insider-threat investigations, or criminal cases when you need to reconstruct a user

analyzing-campaign-attribution-evidence

Systematically evaluate cyber-campaign evidence to attribute an operation to a threat actor, using the Diamond Model and Analysis of Competing Hypotheses (ACH) to weigh infrastructure overlaps, TTP consistency, malware code similarity, and timing/language artifacts into confidence-weighted attribution assessments. Use when an incident investigation needs a defensible attribution confidence level.

analyzing-certificate-transparency-for-phishing

Monitor Certificate Transparency logs using crt.sh and Certstream to

analyzing-cloud-storage-access-patterns

Detect abnormal access in AWS S3, GCS, and Azure Blob Storage by analyzing CloudTrail Data Events, GCS audit logs, and Azure Storage Analytics for after-hours bulk downloads, new-IP access, and API-call spikes (e.g. GetObject) via statistical baselines and time-series anomaly detection. Use when investigating suspected cloud data exfiltration or building related detection rules.

analyzing-cobalt-strike-beacon-configuration

Extract and analyze Cobalt Strike beacon configuration from PE files

analyzing-cobaltstrike-malleable-c2-profiles

Parse and analyze Cobalt Strike Malleable C2 profiles with dissect.cobaltstrike (profiles and beacon-payload configs) and pyMalleableC2 (AST parsing) to extract HTTP/DNS transforms, URIs, headers, sleep/jitter, and injection behavior, then generate network detection signatures. Use when reverse-engineering a captured malleable profile or building detections against Cobalt Strike Beacon traffic.

analyzing-command-and-control-communication

Analyzes malware C2 communication over HTTP, HTTPS, DNS, and custom

analyzing-cyber-kill-chain

Analyzes intrusion activity against the Lockheed Martin Cyber Kill Chain

analyzing-disk-image-with-autopsy

Perform comprehensive forensic analysis of raw (dd), E01, or AFF disk images with Autopsy and The Sleuth Kit, recovering deleted files, examining metadata and embedded artifacts, keyword searching, and building investigation timelines with visual reports. Use for structured analysis of a forensic disk image or when stakeholders need visual reports from evidence.

analyzing-dns-logs-for-exfiltration

Analyzes DNS query logs to detect data exfiltration via DNS tunneling,

Habilidades Relacionadas

steipete/video-frames

Extract frames or short clips from videos using ffmpeg.

community

steipete/summarize

Summarize or transcribe URLs, YouTube/videos, podcasts, articles, transcripts, PDFs, and local files.

community

openclaw/openclaw

Use when testing, fixing, or extending the OpenClaw Control UI GUI with Vitest + Playwright end-to-end checks, mocked Gateway WebSocket flows, mocked dashboard runs, screenshots/videos, or agent-verifiable browser proof.

community

obra/superpowers

Obra superpowers agent skills.

community

affaan-m/ECC

See, Understand, Act on video and audio. See- ingest from local files, URLs, RTSP/live feeds, or live record desktop; return realtime context and playable stream links. Understand- extract frames, build visual/semantic/temporal indexes, and search moments with timestamps and auto-clips. Act- transcode and normalize (codec, fps, resolution, aspect ratio), perform timeline edits (subtitles, text/image overlays, branding, audio overlays, dubbing, translation), generate media assets (image, audio...

community

affaan-m/everything-claude-code

End-to-end marketing campaign planning and execution. Covers audience research, positioning, campaign angle definition, landing page copy, email sequences, social posts, ad copy, short-form video scripts, and content calendars. Use as the orchestration layer for multi-channel product launches. Use when planning or executing a multi-channel product launch, or producing landing page, email, social, or ad copy.

community