Timesketch
Timesketch
Timesketch ist eine quelloffene Plattform zur gemeinsamen Analyse forensischer Zeitleisten. Sie nimmt große Timeline-Datensätze auf, macht sie durchsuchbar und erlaubt mehreren Analysten, an derselben Untersuchung kollaborativ zu arbeiten — mit Markierungen, Anmerkungen und gemeinsamen Erkenntnissen. Sie ist die Auswertungsoberfläche zu Werkzeugen wie Plaso.
Historie & Fakten. Timesketch löst ein praktisches Problem der Timeline-Analyse: Die von Werkzeugen wie Plaso erzeugten Zeitleisten sind riesig und allein kaum beherrschbar. Die Plattform macht sie durchsuchbar, erlaubt das Filtern und Visualisieren und unterstützt die gemeinsame Arbeit mehrerer Ermittler an einer Untersuchung — etwa durch das Markieren relevanter Ereignisse und das Teilen von Zwischenständen.
Ausblick & Empfehlung. Der Mehrwert liegt in der Zusammenarbeit und der Strukturierung: Aus einer unüberschaubaren Ereignismenge wird eine geführte, nachvollziehbare Untersuchung. In Kombination mit Plaso als Datenlieferant entsteht ein durchgängiger Ablauf von der Rohsicherung bis zur Auswertung. Als quelloffene Lösung lässt sich Timesketch in die eigene DFIR-Umgebung integrieren und behält die Untersuchungsdaten unter eigener Kontrolle.