Plaso
Plaso (log2timeline)
Plaso ist ein quelloffenes Werkzeug, das aus einer Vielzahl forensischer Artefakte automatisiert eine umfassende Zeitleiste erstellt — eine sogenannte Super-Timeline. Es sammelt Zeitstempel aus Dateisystemen, Protokollen, Browser-Spuren, der Registry und vielem mehr und führt sie zusammen. Es ist das Rückgrat vieler Timeline-Analysen.
Historie & Fakten. Plaso ist die Weiterentwicklung des Projekts log2timeline und automatisiert das, was zuvor mühsame Handarbeit war: das Einsammeln und Vereinheitlichen von Zeitstempeln aus dutzenden Quellen eines Systems. Das Ergebnis ist eine konsolidierte, durchsuchbare Zeitleiste, die den Ablauf eines Vorfalls nachvollziehbar macht. Plaso liefert die Daten, die in Werkzeugen wie Timesketch ausgewertet und visualisiert werden.
Ausblick & Empfehlung. Die Stärke von Plaso — alles zu erfassen — ist zugleich seine Herausforderung: Die erzeugten Zeitleisten sind enorm und müssen gezielt gefiltert werden, um aussagekräftig zu sein. In Kombination mit einer Analyseoberfläche wird daraus ein wirkungsvolles Instrument der DFIR-Arbeit. Für belastbare Ergebnisse ist auf konsistente Zeitzonen und die Plausibilität der Zeitangaben zu achten, da manipulierte Zeitstempel (Timestomping) das Bild verfälschen können.