슈퍼 타임라인¶
super-timeline은 파싱된 아티팩트를 공통 스키마의 이벤트로 변환합니다. 출력은
기본적으로 정렬되지 않습니다. 작업자가 끝나는 순서와 관계없이, 발견된 입력 파일의 순서와 각 파서가 타임스탬프를
이벤트로 투영하는 순서를 따릅니다. 시간순으로 정렬하고 중복을 통합하려면 --sort를 추가하십시오. Prefetch 레코드 하나에는 실행
시간이 여러 개 들어 있을 수 있고, MFT 레코드 하나에는 파일 타임스탬프가 8개 이상 들어 있을 수 있습니다. 이러한
타임스탬프는 각각 별도의 레이블이 붙은 이벤트가 됩니다. 덕분에 각 타임스탬프가 실제로 무엇을 의미하는지 놓치지
않고 서로 다른 출처의 증거를 비교하기가 쉬워집니다.
원본 증거 디렉터리가 아니라 auto-parse의 결과에서 시작하십시오.
파싱된 파일, 매니페스트, 원본 증거는 그대로 보관하십시오. 타임라인은 분석을 위해 레코드를 투영한 결과물일 뿐이며, 이러한 레코드를 대체하지 않고 네이티브 Plaso 저장 파일을 만들지도 않습니다.
사용법¶
# Native CSV (default)
juntei super-timeline -d parsed/ -o SuperTimeline.csv
# Chronological CSV with duplicate consolidation
juntei super-timeline -d parsed/ -o SortedTimeline.csv --sort
# Native JSON Lines
juntei super-timeline -d parsed/ -o SuperTimeline.jsonl -t jsonl
# Combine native records and an existing Hayabusa JSONL timeline
juntei super-timeline -f NativeRecords.jsonl --hayabusa Hayabusa.jsonl \
-o SuperTimeline.jsonl -t jsonl
# Timesketch import profile; also available with CSV
juntei super-timeline -d parsed/ -o Timesketch.jsonl -t jsonl --profile timesketch
# One standalone CSV needs an artifact identifier and, if unavailable, a computer name
juntei super-timeline -f MFT.csv --input-artifact mft --computer HOST01 \
-o Host01Timeline.csv
# Reduce the time range, memory used by sorting, or number of workers
juntei super-timeline -d parsed/ -o IncidentTimeline.jsonl -t jsonl \
--timeline-start "2026-10-20T06:00:00Z" --timeline-end "2026-10-20T14:00:00Z" \
--sort --memory-limit 64 -T 4 --temp-dir scratch/
--hayabusa FILE은 여러 번 지정하거나 단독으로 사용할 수 있습니다. Hayabusa를 실행하지 않고, 기존 이벤트/경보의
타임스탬프와 규칙 컨텍스트를 가져옵니다. Details가 문자열인 정보(informational) 수준 이벤트도 지원합니다.
--artifact mft,prefetch는 투영 대상을 선택한 아티팩트 식별자로 제한합니다. 시간 범위의 한계는 경계 시각을
포함하며, 명시적인 UTC 오프셋이나 Z가 있어야 합니다.
입력 선택¶
| 입력 | 식별 방법 |
|---|---|
-d DIR |
manifest.json이 성공한 주 작업, 아티팩트 ID, 컴퓨터, 정확한 출력 파일을 제공합니다. 같은 결과의 두 사본을 함께 가져오지 않도록 auto-parse -j의 보조 작업은 제외됩니다. |
-f FILE |
네이티브 JSON/JSONL은 레코드에 포함된 Artifact 및 Comp 필드를 사용합니다. 이러한 태그가 없는 내보내기에는 --input-artifact가 필요하며, 단독 CSV에는 항상 필요합니다. |
--computer NAME |
입력 레코드에 컴퓨터 이름이 없을 때 사용하는 대체 값입니다. 지정하지 않으면 알 수 없는 컴퓨터는 명시적으로 Unknown이 됩니다. |
--hayabusa FILE |
Hayabusa 타임스탬프, 규칙 메타데이터, 컴퓨터, 그리고 있는 경우 EvtxFile을 담은 JSONL입니다. |
현재 매니페스트는 파싱된 디렉터리를 다른 위치로 옮겨도 사용할 수 있습니다. 기록된 절대 출력 경로는 새 디렉터리
아래에서 해석됩니다. 입력은 심볼릭 링크의 대상을 포함하여 모두 이 디렉터리 안에 있어야 합니다. 레거시 형식인
아티팩트별 Amcache, SRUM, Jump Lists 디렉터리도 지원하며, 범주 디렉터리에는 명시적인 OutputFiles가 필요합니다.
출력 디렉터리 기준 상대 경로와 평탄화된 다중 테이블 내보내기를 사용하는 현재 매니페스트를 지원합니다. 이 명령은 새로 추가된 브라우저, WebCache, Outlook, UAL 테이블을 포함하여 자동 파싱이 예약하는 모든 아티팩트를 인식합니다.
매니페스트가 VHDX 또는 E01 이미지를 식별하는 경우, 소스 참조에는 이미지와 이미지 내부 경로가 들어가고 이미지 이름은 이벤트 컨텍스트에 유지됩니다. 파싱된 결과를 읽을 때 임시 스테이징 작업 공간은 필요하지 않습니다.
원시 소스는 레코드 또는 명확한 매니페스트 명령에서 가져옵니다. -d를 사용하면 원시 소스 참조는 증거 디렉터리에 상대적이고 Details.ParsedFile는 구문 분석된 디렉터리에 상대적입니다. SRUM CSV 테이블은 호스트에 고유하게 식별 가능한 수집 SRUDB.dat가 하나 있는 경우에만 데이터베이스에 할당됩니다. 그렇지 않으면 SourceFile는 구문 분석된 파일을 가리키고 Details.RawSourceAvailable는 false입니다.
단독 입력은 파일 이름으로 참조됩니다. 파일 이름이 같은 입력은 서로 다른 ./Inputs/<ID>/<filename> 참조를
사용합니다. 알려진 증거 루트 밖에 있는 원시 소스의 절대 경로에는 ./Sources/<ID>/<filename> 식별자를 사용합니다.
이러한 불투명한 참조는 분석가의 절대 디렉터리 이름을 내보내지 않으면서도 소스를 서로 구분합니다. 원래 소스를
확인하려면 ParsedFile과 InputRecord로 네이티브 레코드를 참조하십시오. Windows 실행 파일 경로처럼 증거에 기록된
경로는 변경되지 않습니다.
공통 이벤트 필드¶
| 필드 | 의미 |
|---|---|
Timestamp |
UTC RFC 3339 형식이며, 일관된 정렬을 위해 소수부를 9자리로 기록합니다. 자릿수를 채운다고 정밀도가 높아지지는 않습니다. |
Comp |
입력 레코드와 연관된 컴퓨터입니다. |
Artifact |
mft, prefetch, srum, hayabusa 같은 고정된 아티팩트 식별자입니다. |
TimestampType |
MFT SI Data modified처럼 타임스탬프가 무엇을 의미하는지 나타내는 설명입니다. |
User |
어댑터에 해당 정보가 있으면 기록된 계정 또는 SID입니다. 비어 있을 수 있습니다. |
Path |
영향을 받은 파일, 레지스트리 키 또는 그 밖의 아티팩트별 개체입니다. |
Message |
타임라인 뷰어에 표시할 짧은 설명입니다. |
SourceFile |
증거 디렉터리 기준 상대 경로로 나타낸 원시 소스 참조이며, 루트를 알 수 없으면 상대 소스 식별자입니다. 둘 다 아니면 위에서 설명한 대로 파싱된 파일을 대신 가리킵니다. |
SourceField |
타임스탬프를 가져온 정확한 파싱 필드 또는 중첩 위치입니다. |
RecordID |
아티팩트별 레코드 식별자입니다. 반드시 EVTX의 Record ID인 것은 아닙니다. |
Details |
원래 타임스탬프, 정밀도, 시간 기준, 시간 역할, 파싱된 파일, 입력 레코드/위치, 그리고 가능한 경우 복구/규칙 메타데이터를 담은 구조화된 컨텍스트입니다. |
CSV에서 Details는 따옴표로 묶인 JSON 셀이고, JSONL에서는 개체입니다. Timesketch 프로필은 나머지 출처 필드를
그대로 두고 Timestamp, TimestampType, Message를 각각 datetime, timestamp_desc, message로 바꿉니다.
이 세 필드가 Timesketch 가져오기의 필수 필드 세 가지입니다.
Details에는 전체 바이너리 데이터나 네이티브 레코드의 모든 필드가 아니라, 선별한 컨텍스트만 의도적으로 담습니다.
긴 문자열, 배열, 개체는 크기를 제한하고 ProjectionOmitted로 표시합니다. 네이티브 레코드 전체를 확인하려면
Details.ParsedFile, InputRecord, Location을 찾아보십시오. CSV의 레코드 번호는 따옴표로 묶인 셀 안의 물리적
줄이 아니라 머리글 다음의 CSV 레코드를 셉니다. JSONL에서는 줄 번호이고, JSON에서는 최상위 문서 번호와 중첩
위치입니다.
타임스탬프의 의미¶
타임스탬프는 기록된 개체에 관한 증거입니다. 그것만으로 실행이나 공격이 증명되지는 않습니다. 어댑터는 다음과 같은 구분을 의도적으로 유지합니다.
| 아티팩트 | 타임라인에서의 해석 |
|---|---|
| MFT | SI와 FN의 수정, 액세스, 메타데이터 변경, 생성 시간을 각각 따로 다루며, FN 속성은 이름별로 구분되어 유지됩니다. --sort를 사용하면 파일 이름 행마다 반복되는 SI 필드가 통합됩니다. ADS 행이 기본 파일과 공유하는 시간은 두 모드 모두에서 제외됩니다. FILE 레코드 슬랙에서 복구한 이름은 복구된 FN 이벤트로 따로 유지됩니다. |
| I30 | 저장된 FN/인덱스 메타데이터이며, 가능한 경우 슬랙/복구 컨텍스트를 함께 담습니다. 이는 디렉터리 인덱스가 기록된 시각이 아닙니다. |
| USN 저널 | 저널 레코드의 타임스탬프와 업데이트 이유입니다. 레코드 하나가 여러 변경을 설명할 수 있으며, 그 변경이 정확히 언제 시작되었는지를 반드시 기록하지는 않습니다. |
| LogFile | redo/undo에 저장된 타임스탬프 스냅샷과 파일 이름 메타데이터입니다. redo와 undo는 별도로 유지됩니다. LSN과 파일 오프셋은 식별자이므로 날짜로 변환하지 않습니다. |
| Prefetch | 기록된 실행 시간입니다. --sort를 사용하면 일치하는 Prefetch 타임라인 내보내기의 항목과 통합됩니다. 참조된 볼륨의 생성 메타데이터에는 별도의 레이블이 붙습니다. |
| 브라우저 SQLite 데이터베이스 | 기록된 방문, 복구된 페이지의 마지막 방문 메타데이터, 다운로드 시작/종료, 쿠키 생성/액세스/만료, 양식 기록의 최초/마지막 사용 또는 삭제 기록(tombstone)입니다. 다운로드 종료만으로는 성공이나 실행이 증명되지 않으며, 쿠키 만료는 설정된 기한일 뿐입니다. 복구 상태, 신뢰도, 출처는 컨텍스트에 유지됩니다. |
| Internet Explorer / 레거시 Edge WebCache | 저장된 항목의 액세스, 생성/수정, 만료, 동기화, 다운로드 시작, 쿠키 메타데이터, 컨테이너 액세스/정리입니다. 캐시 관리 기록이 곧 사용자가 페이지를 열었다는 증거가 되지는 않습니다. |
| Outlook PST, OST, MSG, OFT | 메시지 제출/배달, 폴더·항목·첨부 파일의 생성/수정, 일정 시작/종료/미리 알림, 작업 시작/기한/완료/미리 알림, 그리고 시간 유형으로 명시적으로 선언된 속성입니다. 예정된 시각은 모임이 실제로 열렸거나, 미리 알림이 표시되었거나, 프로그램이 실행되었다는 증거가 아닙니다. 저장된 배달 시각은 메시지를 읽었다는 증거가 아닙니다. |
| 사용자 액세스 로깅(UAL) | 첫 번째/마지막 액세스 메타데이터, 데이터베이스 삽입/생성, 첫 번째/마지막 확인 및 저장된 운영 체제 부팅 시간. 역할, 계정, 소스 주소 및 일일 카운터는 컨텍스트로 유지됩니다. 일일 날짜/개수는 자정 로그온으로 만들어지지 않습니다. 시간이 지정되지 않은 ID 및 DNS 행은 원래 구문 분석된 결과에 남아 있습니다. |
| Amcache | 인벤토리 키의 마지막 쓰기 시간, 상위 볼륨 키 컨텍스트, 기록된 설치 날짜, PE 링크 메타데이터입니다. 인벤토리에 있다는 사실이나 LinkDate만으로는 실행이 증명되지 않습니다. |
| ShimCache | 저장된 파일 수정 시간, 캐시 업데이트 메타데이터, 캐시 키의 마지막 쓰기 시간입니다. 이 중 어느 것도 그 자체로 실행 시각은 아닙니다. |
| SRUM | 공급자 타임스탬프/버킷, 연결 시작, 명시적인 시작/종료 구간 필드, 애플리케이션 식별자 메타데이터입니다. 바이트 수, 지속 시간 등의 카운터는 날짜가 아닙니다. |
| LNK | 대상의 MAC 타임스탬프, 추적 식별자 생성 시간, 셸 항목 시간입니다. 이는 저장된 대상 메타데이터를 나타내며, 바로 가기가 열린 시각을 반드시 의미하지는 않습니다. |
| Jump Lists | 항목의 마지막 사용 메타데이터, 추적 식별자 생성 시간, 포함된 LNK의 대상 시간입니다. 기본적으로 수집 측 컨테이너 파일의 시간은 생략합니다. |
| Defender 격리 데이터 | 항목 타임스탬프와 저장된 리소스의 생성/액세스/쓰기 시간입니다. 추출 시간은 엔드포인트 활동의 증거가 아닙니다. |
| BAM, UserAssist, FeatureUsage | 기록된 활동 필드가 있으면 사용하며, 키의 마지막 쓰기 컨텍스트는 별도로 구분합니다. 시간이 없는 카운터로는 이벤트를 만들지 않습니다. |
| RecentDocs, MRU, Open/Save MRU, ShellBags, Office | 기록된 사용/신뢰/셸 항목 시간과 키 컨텍스트입니다. 목록 키의 시간은 목록에 있는 각 항목의 개별 마지막 사용 시간이 아닙니다. |
| SAM 및 LSA 비밀 정보 | 기록된 계정 로그온/암호/만료 메타데이터 또는 비밀 정보 설정 메타데이터와 관련 키 시간입니다. 인증 이벤트 로그를 대체하지 않습니다. |
| 서비스, TaskCache, 레지스트리 자동 실행, BCD | 키/구성 메타데이터와 명시적으로 기록된 작업 시간입니다. 서비스 키의 쓰기만으로는 서비스 실행이 증명되지 않습니다. |
| 네트워크 및 USB | 네트워크 프로필/임대 필드와 장치 설치/연결/제거 필드이며, 레지스트리 키 컨텍스트를 함께 담습니다. 네이티브 USB 출력의 사용자 MountPoints2 시간은 해당 사용자 하이브를 소스로 유지합니다. |
| 시스템 정보, 설치된 프로그램, AppCompat, 애플리케이션 기록 | 명시적인 설치, 종료, 인벤토리/활동 필드와 키 메타데이터 필드입니다. 네이티브 시스템 정보 출력의 프로필/버전 배열은 중첩된 시간을 유지합니다. |
| 감사 정책, 보안 설정, MuiCache, 일반 레지스트리 | 제공된 경우 키의 마지막 쓰기 시간입니다. 시간 정보가 없는 값/카운터는 네이티브 입력에서 계속 확인할 수 있습니다. |
| Persistence Hunter | 근거가 되는 키의 마지막 쓰기 시간과 상관된 변경 시간입니다. 탐지 결과 자체는 타임스탬프가 있는 설치 기록도, 침해 판정도 아닙니다. |
| Hayabusa | 규칙, 수준, 채널, 이벤트 ID, 가능한 세부 컨텍스트를 포함한 이벤트/경보 타임스탬프입니다. 여러 규칙과 서로 다른 상관 규칙 행은 각각 별도로 유지됩니다. |
기본 내보내기는 반복되는 메타데이터를 포함하여 모든 타임스탬프 투영을 유지하며, 전역 정렬이나 중복 통합을 수행하지
않습니다. --sort를 사용하면 중복된 투영이 통합되므로, 같은 입력을 정렬하지 않고 내보낼 때보다 행 수가 적을 수
있습니다. 값은 같지만 의미나 증거 소스가 다른 타임스탬프는 두 모드 모두에서 유지됩니다. 중복을 판별하는 식별
기준에는 컴퓨터, 소스, 아티팩트, 레코드, 시간의 의미, 복구 상태가 포함됩니다. 통합된 행에는 DuplicateCount와
개수가 제한된 대체 경로/소스 필드가 기록됩니다. 경로와 타임스탬프가 비슷해 보인다는 이유만으로 서로 다른 소스를
병합하는 일은 없습니다. 원시 소스를 확인할 수 없으면 서로 다른 수집본이 하나로 합쳐지지 않도록 입력 레코드의 식별
정보를 유지합니다.
정밀도, 로컬 시간과 가정¶
UTC로 알려진 필드와 명시적인 오프셋이 있는 타임스탬프는 UTC로 정규화됩니다. 100 ns 단위의 FILETIME을 포함하여 원래 값과 기록된 정밀도는 유지됩니다. 소스 파서나 다운스트림 뷰어가 이미 시간을 반올림했을 수 있으며, 이 명령은 손실된 정밀도를 복원할 수 없습니다.
일부 셸 항목/FAT 필드는 업스트림 파서가 Z를 붙여 직렬화하더라도 로컬 시간을 의미합니다. 타임라인은 파싱된 값과
필드의 출처를 보존하지만, 누락된 엔드포인트의 표준 시간대를 복구하거나 업스트림 변환을 검증할 수는 없습니다.
이러한 시간을 정밀한 호스트 간 상관 분석에 사용하기 전에 원시 아티팩트와 엔드포인트 설정을 확인하십시오.
아티팩트 정의 시간대가 없는 순진한 타임스탬프는 UTC로 자동 처리되지 않고 해결되지 않은 것으로 계산됩니다. 증거가 이를 정당화하는 경우 서명된 고정 오프셋을 제공합니다.
juntei super-timeline -f Amcache.jsonl --input-artifact amcache \
--assume-offset "+09:00" -o Timeline.csv
날짜만 있는 값에도 이 옵션이 필요합니다. 이러한 값의 기준 시각인 자정은 일 단위 정밀도의 가정으로 레이블이 붙으며, 실제로 관찰된 자정의 이벤트가 아닙니다. 표준 시간대 이름과 일광 절약 시간 규칙은 받지 않습니다. 누락된 값, 0, 유효하지 않은 값, 범위를 벗어난 값으로 에포크 시각의 합성 이벤트를 만들지 않습니다. 명시적으로 기록된 유효한 1970년 날짜는 유지됩니다.
다음 두 가지 선택적 범주는 기본적으로 제외됩니다.
--include-collection-times: 수집/분석용 파일 시스템에 있는 LNK/Jump List 소스 파일의 메타데이터입니다. 이 이벤트에는collection_filesystem레이블이 붙어 엔드포인트 활동과 구분됩니다.--include-interpreted-times: 레지스트리 리더가 FILETIME으로 해석해 표시한 일반 레지스트리 QWORD 값입니다. 이러한 값 중 상당수는 실제로는 카운터이므로interpreted_value레이블이 붙습니다.
출력 및 건너뛴 레코드¶
이 명령은 -o로 선택한 타임라인만 -t(기본적으로 csv 또는 jsonl)로 선택한 형식으로 씁니다. 시간이 지정되지 않은 진단 또는 요약 동반 파일이나 레코드별 진단 스풀은 생성되지 않습니다. 이전 실행의 기존 동반 파일은 그대로 유지됩니다.
터미널 요약은 타임라인 이벤트 및 시간 제한이 없는 기록의 수를 보고합니다. 0이 아닌 유효하지 않은 타임스탬프와 확인되지 않은 시간대 수는 별도로 표시됩니다. --sort를 사용하면 통합된 중복 항목 수도 보고됩니다. 타임라인 이벤트를 생성하지 않는 레코드와 전체 아티팩트 컨텍스트에 대해 원래 구문 분석된 결과를 유지합니다.
정당한 시간대 가정을 기다리는 유효한 날짜는 잘못된 타임스탬프가 아니라 해결되지 않은 시간대로 계산됩니다. 타임스탬프가 만들어지지 않으며, 사용 가능한 매핑 시간이 없는 기록은 합성 에포크 이벤트로 타임라인에 삽입되지 않습니다.
요청된 범위를 벗어난 유효한 시간이 있는 레코드는 시간이 지정되지 않은 것이 아니라 필터링된 것으로 계산됩니다. 성공적인 내보내기는 선택한 구문 분석된 입력이 성공적으로 처리되었음을 의미합니다. 이는 모든 아티팩트가 수집되었거나 모든 필드에 타임스탬프가 있거나 모든 공격이 감지 가능하다는 의미는 아닙니다.
CSV 내보내기는 중첩된 메타데이터를 평탄화할 수 있습니다. 시스템 정보 프로필, USB 사용자 마운트 지점, 셸 항목 및 그 밖의 구조화된 컨텍스트는 네이티브 JSON/JSONL 쪽이 더 풍부할 수 있습니다. 이러한 필드가 중요하면 네이티브 입력을 사용하십시오. CSV 내보내기에서 생략된 데이터는 타임라인에서 재구성할 수 없습니다. 지원되지 않는 아티팩트 ID나 잘못된 형식의 입력 파일은 일부 결과만 담은 채 성공으로 처리되지 않고 오류가 됩니다.
성능과 출력 안전성¶
입력은 스트리밍 방식으로 병렬 처리됩니다. 기본적으로 각 작업자는 서식이 적용된 이벤트 조각을 기록하며, 이 조각들은 정렬하거나 이벤트 구조를 다시 읽지 않고 입력 파일 순서대로 이어 붙여집니다. 여러 파일을 처리해도 CSV의 머리글은 하나뿐입니다. 출력 순서는 작업자 수가 달라도 동일하지만, 시간순을 의미하지는 않습니다.
Input files는 선택된 구문 분석된 입력과 Hayabusa 타임라인의 결합된 크기를 보여줍니다. Results saved는 저장된 타임라인 파일의 크기를 보여줍니다. 둘 다 auto-parse와 동일한 사람이 읽을 수 있는 KiB/MiB/GiB 장치를 사용합니다.
--sort를 사용하면 버퍼 내용을 비공개 임시 디렉터리에 임시로 기록(spill)한 뒤, 제한된 병합 패스를 거쳐
시간순 출력을 만듭니다. 정렬에는 1970년 이전 날짜를 포함하여 정수 초와 나노초 전체를 사용합니다. 시각이 같은 이벤트의
순서는 작업자 수와 정렬 예산이 달라도 동일합니다. 진행률 표시줄은 반복되는 패스를 포함하여 중간 병합과 최종
병합에서 처리되는 이벤트마다 진행됩니다. 터미널에서는 표시되고, 출력이 리디렉션되면 숨겨집니다.
--memory-limit 옵션은 --sort와 함께 사용할 때만 적용되며, 프로세스 RSS 상한이 아니라 전체 정렬 버퍼 예산을
의미합니다. 입력 레코드, JSON 개체/문자열 오버헤드, CSV 버퍼, 병합 레코드에는 추가 메모리가 필요합니다. 예산이
작으면 작업자 수가 줄어듭니다. --max-record-size는 파싱된 입력 레코드 하나의 크기를 제한합니다(기본값 16 MiB).
들여쓰기된(pretty) JSON 배열/보고서는 최상위 입력 문서 하나로 계산됩니다. 그보다 큰 문서는 제한을 높여야 할 수
있으며, 가능하면 JSONL을 사용하는 편이 좋습니다. CSV 파서의 미리 읽기도 이 제한에 포함됩니다.
임시 디스크 공간에는 최종 결과 외에도 서식이 적용된 이벤트 조각(기본값) 또는 확장된 정렬 레코드와 병합
패스(--sort)를 담을 여유가 있어야 합니다. 두 모드 모두 임시 출력 스테이징과, 실패한 입력의 결과가 반영되지
않도록 하는 보호 장치를 유지합니다. 레코드 하나가 여러 이벤트를 만들 수 있으므로 타임라인은 입력보다 훨씬 커질 수
있습니다. 필요에 따라 시간 범위/아티팩트를 필터링하고, 여유 공간이 충분한 임시 볼륨을 선택하십시오.
Ctrl+C는 협력적으로 취소하고 개인 정렬/스테이징 디렉터리를 제거하고 코드 130로 종료됩니다. Linux 및 macOS에서는 이는 SIGTERM 및 SIGHUP에도 적용됩니다. 게시가 시작되기 전에 타임라인을 읽고, 정규화하고, 병합하고, 쓰는 동안 취소가 확인됩니다. 포착할 수 없는 종료 또는 정전으로 인해 여전히 임시 파일이 남을 수 있습니다.
기존 출력에는 -C가 필요합니다. 타임라인은 입력, 매니페스트, 참조된 로컬 증거 또는 보호된 증거 디렉터리를 덮어쓰면 안 됩니다. 입력 오류 또는 정렬 실패로 인해 기존 타임라인은 그대로 유지됩니다. 완성된 타임라인은 대상 옆에 배치되어 원자적으로 대체됩니다. 이전의 전체 내보내기 문제를 유지하는 경우 각 실행에 대해 새 출력 파일 이름을 사용하십시오.
자세한 내용¶
현재 Juntei 입력은 Comp, Filename, Args 및 Attr와 같은 약식 레이블을 사용합니다. MFT CSV는 현재 File, SN, ParentEntryNum, ParentSN, Type, USN, LogfileSN 및 HasADS 헤더, 시퀀스 번호 생성 및 DOS/ADS 구별을 그대로 유지합니다. 이전에 내보낸 레이블은 그대로 허용되며 SourceField는 실제 입력에서 철자를 유지합니다. Hayabusa 입력은 자체 Computer 필드를 유지합니다. 이벤트 타임스탬프가 없는 부팅 섹터 및 보안 설명자 메타데이터는 원래 구문 분석된 결과에 남아 있습니다. 타임라인 이벤트를 생성하지 않습니다.
새로운 다중 테이블 파서¶
네이티브 JSON/JSONL에는 각 테이블 이름이 들어 있습니다. 단독 CSV의 경우 브라우저, WebCache, Outlook 어댑터가 열 스키마로 테이블을 식별하므로, CSV 이름을 바꾸거나 자동 파싱이 붙이는 소스 접미사를 사용해도 타임스탬프 해석은 달라지지 않습니다. UAL은 명시적으로 알려진 타임스탬프 필드를 유지하며, 액세스 카운터나 날짜처럼 보이는 관련 없는 텍스트를 날짜로 추측하지 않습니다.
Outlook 속성 행은 선언된 유형이 시간 또는 다중 시간 유형일 때만 이벤트로 투영됩니다. 날짜를 담은 문자열은 문자열로 남습니다. 첨부된 메시지는 항목 ID와 상위 항목 참조를 유지하며, 첨부 파일을 추출한 시각을 저장된 첨부 파일 타임스탬프 대신 사용하지 않습니다. 시간 정보가 없는 파일, 받는 사람, 연락처, 속성 행은 네이티브 출력과 시간 정보 없는 레코드 보고서에서 추적할 수 있습니다.
이러한 파서에도 같은 CSV 및 JSONL 출력 스키마가 적용됩니다. 새 아티팩트를 추가해도 CSV 열이 수백 개씩 늘어나지 않습니다. 아티팩트별 컨텍스트는 Details에 담깁니다.