Plaso 超级时间线构建实战DFIR 取证流程与 NIST CSF 2.0 / MITRE ATTCK 框架映射深度解析【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills本文以 Anthropic-Cybersecurity-Skills 仓库中 building-super-timelines-with-plaso 技能 及其 标准与框架映射文档 为核心系统讲解如何利用 Plasolog2timeline把主机上数百种取证物证融合为一条统一的时间线super timeline并阐明其在 NIST Cybersecurity Framework 2.0 与 MITRE ATTCK 两大标准体系中的定位与实战价值。读完本文你将掌握 log2timeline.py、pinfo.py、psort.py、psteal.py 的完整调用链能够独立完成从镜像提取、存储文件检验、过滤导出到 Timesketch 协作研判的全流程并学会用统一时间线识别 timestomping、日志清除等反取证行为。Plaso 与超级时间线的核心概念PlasoPlaso Langar Að Safna Öllu是开源取证时间线引擎其前身与核心工具是log2timeline是构建取证超级时间线super timeline的事实标准。所谓超级时间线是指把数百种主机物证——文件系统 MACB 时间、注册表、EVTX 事件日志、浏览器历史、prefetch、LNK 快捷方式、$UsnJrnl 变更日志、syslog 等——融合进单一条按时间排序、格式归一化的时间线视图。这是 DFIR数字取证与事件响应中重建事件序列、定位事件根因的基石方法。在该技能中Plaso 被划分为四个核心 CLI 工具各司其职工具职责log2timeline.py从证据源磁盘镜像、挂载点、目录或设备提取事件写入.plaso存储文件依赖其庞大的 parser/plugin 集合pinfo.py报告.plaso文件的来源、使用的解析器、事件数量及处理元数据psort.py对存储文件做后处理过滤、去重、时区归一化并导出为 CSV、JSON-line、Elasticsearch、Timesketch 等输出格式psteal.py便捷封装一条命令完成提取 导出两步而超级时间线的最终研判通常落在Timesketch——一个协作式、基于 Web 的时间线分析平台可摄取.plaso文件或 CSV/JSONL支持过滤、打标签、加星标、保存搜索与自动化 analyzer。适用场景应急响应中重建失陷主机的完整事件序列在单一归一化时间线上跨多个物证源关联活动调查 timestomping、日志清除等反取证行为在 MACB 时间与日志证据的矛盾中尤为突出将精炼后的时间线导入 Timesketch 供团队协作研判。安装与运行环境Plaso 官方推荐用 Docker 保证可复现运行docker pull log2timeline/plaso # 运行任一工具挂载证据与输出目录 docker run -v /cases:/data log2timeline/plaso log2timeline.py --version在 Ubuntu 上也可通过 GIFT PPA 安装sudo add-apt-repository ppa:gift/stable sudo apt-get update sudo apt-get install -y plaso-tools此外还需要一个 Timesketch 实例docker-compose 部署用于研判以及一份取证镜像E01/raw或挂载好的文件系统。授权使用声明只能基于你被授权分析的证据构建时间线应始终基于取证镜像/副本工作并保全证据链chain of custody。完整工作流从镜像到协作研判该技能给出了一个七步实战流程下面结合 api-reference.md 中的命令参考逐项展开。第 1 步提取事件到存储文件log2timeline.py从证据源写出.plaso文件。--storage-file指定输出文件名证据源可以是.E01、raw 镜像、挂载点或目录log2timeline.py --storage-file timeline.plaso /cases/greendale/image.E01为兼顾速度与相关性可以用--parsers限定解析器范围预设值如win7、webhist或显式解析器名!name表示排除log2timeline.py --parsers win7,!filestat --storage-file timeline.plaso /cases/image.E01api-reference 进一步补充了提取阶段可用的完整参数参数用途--storage-file file输出的.plaso存储文件source证据源.E01、raw 镜像、挂载点、目录、设备--parsers list限定解析器预设win7、webhist等!name排除--partitions spec选择分区如all--vss-stores spec处理卷影副本Volume Shadow Copies--hashers list计算文件哈希如sha256-z tz指定证据源时区--workers n提取 worker 数量第 2 步检验存储文件pinfo.py报告来源、所用解析器、事件计数与任何警告pinfo.py timeline.plaso # 摘要 pinfo.py -v timeline.plaso # 详细模式这一步是质量门控确认预期解析器确实运行、事件计数非零避免带着空时间线进入下一环节。第 3 步过滤并导出超级时间线CSVpsort.py用-o选择输出模块-w指定写出文件--output-time-zone归一化时区最后一个位置参数可传入事件过滤表达式来限定时间范围psort.py --output-time-zone UTC \ -o l2tcsv \ -w supertimeline.csv \ timeline.plaso \ date datetime(2026-01-01T00:00:00) AND date datetime(2026-01-27T00:00:00)如需 Timesketch 友好的 JSON lines改用json_line输出模块psort.py --output-time-zone UTC -o json_line -w supertimeline.jsonl timeline.plasopsort 的完整参数速查参数用途-o module输出模块l2tcsv、json_line、dynamic、elastic、timesketch-w file输出文件--output-time-zone tz归一化输出时区如UTCstorage.plaso文件filter事件过滤表达式末尾参数常用过滤字段字段示例datedate datetime(2026-01-01T00:00:00)data_typedata_type windows:evtx:recordparserparser contains winregtimestamp_desctimestamp_desc contains Creation第 4 步psteal 一步式提取 导出psteal.py将提取与 CSV 导出合并执行适合快速分流psteal.py --source /cases/greendale/image.E01 -o l2tcsv -w supertimeline.csv第 5 步导入 Timesketch使用官方timesketch_importerCLI 将.plaso或 CSV/JSONL上传进 sketch。Timesketch 会对文件分块、重组并建立索引timesketch_importer \ --host http://127.0.0.1:5000 \ --username admin \ --timeline_name greendale-host01 \ --sketch_id 1 \ timeline.plasotimesketch_importer接受.plaso、.csv、.jsonl三种输入。第 6 步在 Timesketch 中分流研判在 sketch 界面中过滤到可疑时间窗口或特定data_type如windows:evtx:record、fs:stat对关注事件加星标/打标签并添加评论便于团队协作保存搜索并在整条时间线上运行 analyzer如浏览器时间段、相似度、sigma 规则基于跨物证源的相互印证事件构建完整叙事。第 7 步猎捕反取证行为在统一时间线上重点观察MACB 时间戳与 $UsnJrnl 记录相互矛盾的timestomping 迹象日志缺口或EventLog cleared事件 ID 1102记录删除后又重建的文件。这些行为在统一时间线上都会暴露出明显的证据裂缝。NIST Cybersecurity Framework 2.0 映射standards.md 将该技能的核心能力锚定到 NIST CSF 2.0 的RS.AN-03ID名称映射理由RS.AN-03Analysis is performed to establish what has taken place during an incident and the root cause of the incidentPlaso 超级时间线将主机全部物证融合为单一按时间顺序的视图是重建事件序列与根因的首要方法这一映射与技能元数据一致SKILL.md 的 frontmatter 中声明nist_csf: RS.AN-03。从工程视角看CSF 2.0 的 Respond响应职能要求在事件期间执行分析以确定发生了什么与为何发生。超级时间线正是把回答这两个问题的原始证据文件系统时间、注册表、日志组织成可查询、可交叉印证结构的手段——时间线本身不是结论而是支撑结论的证据编排层。MITRE ATTCK 映射standards.md 将技能映射到 ATTCK 的T1070 Indicator RemovalID名称映射理由T1070Indicator Removal统一时间线通过 MACB 时间、USN 日志与事件日志之间的相互矛盾暴露日志清除、文件删除、timestomping 等反取证行为需要强调的是SKILL.md 明确指出Plaso 是防御性取证引擎该映射反映的是超级时间线最适合检出的一类攻击者反取证行为而不是该技能在帮助攻击者实施此类行为。在实战中攻击者清理日志T1070.001、删除文件T1070.004或篡改时间戳T1070.006后其操作会在多个独立物证源上留下不一致痕迹——例如文件被删除但 $UsnJrnl 仍保留记录、时间被回改但事件日志时间戳不同——而超级时间线正是让这些矛盾从逐文件比对变成一眼可见的关键手段。支撑参考标准standards.md 为该技能列出了方法论层面的支撑依据Plaso 官方文档工具用法与解析器说明与Plaso 源码仓库log2timeline/plasoTimesketch 平台及其文档部署、导入器、analyzerNIST SP 800-86《将取证技术整合进事件响应的指南》——定义了基于时间线的取证分析在事件响应流程中的位置NIST SP 800-61r2《计算机安全事件处理指南》——定义了事件响应的整体流程与证据处理规范。这些标准共同构成了该技能的方法论地基SP 800-61r2 界定响应流程阶段SP 800-86 界定取证技术在其中的整合方式Plaso Timesketch 则是落地工具链。仓库配套的自动化辅助脚本仓库为这条工作流提供了一个可直接使用的 Python 辅助脚本 scripts/agent.py把上述 CLI 调用封装成extract、info、export、psteal、import五个子命令并支持--docker走官方镜像、--dry-run预演命令。从源码结构看其设计要点如下base_cmd()统一构造工具调用前缀——用 Docker 时挂载数据目录-v data_dir:/data并调用log2timeline/plaso镜像本地模式则用shutil.which()探测工具是否在 PATH 上不在时给出--docker提示extract/export等子命令严格对应 log2timeline.py 与 psort.py 的参数面--parsers、--vss-stores all、--hashers、--output-time-zone、-o、-w、过滤表达式保证生成命令与官方 CLI 语义一致run()执行前打印完整命令方便审计与复现--dry-run模式仅打印不执行命令缺失时返回退出码 127。使用示例提取 导出 导入python3 scripts/agent.py --docker --data-dir /cases extract \ --source image.E01 --storage timeline.plaso --parsers win7,!filestat python3 scripts/agent.py --docker --data-dir /cases export \ --storage timeline.plaso --output supertimeline.csv --output-module l2tcsv \ --tz UTC --filter date datetime(2026-01-01T00:00:00) python3 scripts/agent.py import \ --host http://127.0.0.1:5000 --username admin \ --timeline_name greendale-host01 --sketch-id 1 --file timeline.plaso该脚本的价值在于把本技能的命令面收敛为一个可审计、可参数化、可接入 Agent 编排的单一入口与技能文件本身形成文档讲原理、脚本落执行的配套。验收标准如何确认一次完整取证闭环SKILL.md 给出了可勾选的验收清单可作为实战自检从源镜像产出.plaso存储文件pinfo 确认预期解析器运行、事件计数非零超级时间线以 UTC 归一化并按过滤条件导出时间线成功导入 Timesketch sketch 并建立索引用标签/星标/保存搜索对可疑时间窗口完成分流检查反取证指标timestomping、日志清除基于跨来源的相互印证事件记录发现结论。总结超级时间线不是把日志堆在一起而是把文件系统 MACB、注册表、EVTX、浏览器历史、prefetch、LNK、USN 日志等异构物证归一化为单一可查询的时间维度让分析者在应急响应中既能自上而下看全局节奏也能自下而上从具体事件切入交叉印证。通过 NIST CSF 2.0 RS.AN-03 与 MITRE ATTCK T1070 的双重视角该技能在回答事件中发生了什么、根因是什么的同时也把反取证对抗显性化为时间线上的证据矛盾。配合仓库中的 SKILL.md、命令参考 与 辅助脚本你可以完整复现从镜像提取到 Timesketch 协作研判的 DFIR 取证闭环。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考