Birleşik zaman çizelgesi¶

super-timeline ayrıştırılmış artefaktları ortak şemalı olaylara dönüştürür. Çıktı varsayılan olarak sıralanmamıştır: işçilerin bitiş sırasından bağımsız olarak, bulunan girdi dosyalarının sırasını ve her ayrıştırıcının olay yansıtma sırasını izler. Kronolojik sıralama ve yinelenenlerin birleştirilmesi için --sort ekleyin. Bir Prefetch kaydındaki birden çok yürütme zamanı veya bir MFT kaydındaki sekiz ya da daha fazla dosya zamanı ayrı etiketlenir. Böylece kaynakları karşılaştırırken zamanların anlamı kaybolmaz.

Özgün kanıt dizini yerine auto-parse sonuçlarını kullanın:

juntei auto-parse -d evidence/ -o parsed/
juntei super-timeline -d parsed/ -o SuperTimeline.csv

Ayrıştırılmış dosyaları, manifestleri ve özgün kanıtları saklayın. Bu analiz görünümü onların yerini almaz ve yerel Plaso deposu oluşturmaz.

Kullanım¶

# Native CSV (default)
juntei super-timeline -d parsed/ -o SuperTimeline.csv

# Chronological CSV with duplicate consolidation
juntei super-timeline -d parsed/ -o SortedTimeline.csv --sort

# Native JSON Lines
juntei super-timeline -d parsed/ -o SuperTimeline.jsonl -t jsonl

# Combine native records and an existing Hayabusa JSONL timeline
juntei super-timeline -f NativeRecords.jsonl --hayabusa Hayabusa.jsonl \
  -o SuperTimeline.jsonl -t jsonl

# Timesketch import profile; also available with CSV
juntei super-timeline -d parsed/ -o Timesketch.jsonl -t jsonl --profile timesketch

# One standalone CSV needs an artifact identifier and, if unavailable, a computer name
juntei super-timeline -f MFT.csv --input-artifact mft --computer HOST01 \
  -o Host01Timeline.csv

# Reduce the time range, memory used by sorting, or number of workers
juntei super-timeline -d parsed/ -o IncidentTimeline.jsonl -t jsonl \
  --timeline-start "2026-10-20T06:00:00Z" --timeline-end "2026-10-20T14:00:00Z" \
  --sort --memory-limit 64 -T 4 --temp-dir scratch/

--hayabusa FILE tek başına veya tekrarlanarak, Hayabusa çalıştırmadan mevcut olay/uyarı zamanlarını ve kural bağlamını aktarır. Details değeri metin olan bilgi olayları desteklenir. --artifact mft,prefetch artefaktları sınırlar. Zaman sınırları dahildir; açık UTC ofseti veya Z gerekir.

Girdi seçimi¶

Girdi	Tanımlama
`-d DIR`	`manifest.json` başarılı birincil görevleri, artefakt kimliklerini, bilgisayarları ve çıktı dosyalarını verir. Çift aktarımı önlemek için ikincil `auto-parse -j` görevleri dışlanır.
`-f FILE`	Yerel JSON/JSONL, gömülü `Artifact` ve `Comp` alanlarını kullanır. Etiketsiz dışa aktarımlar `--input-artifact` gerektirir; bağımsız CSV için daima zorunludur.
`--computer NAME`	Kaydın bilgisayar adı yoksa yedek ad; bilinmeyen bilgisayar açıkça `Unknown` olarak gösterilir.
`--hayabusa FILE`	Hayabusa zamanları, kural metaverileri, bilgisayar ve varsa `EvtxFile` içeren JSONL.

Güncel manifestler sonuç dizininin taşınmasını destekler; eski mutlak yollar yeni dizinde çözülür. Sembolik bağlantı hedefleri dahil girdiler bu dizinde kalmalıdır. Eski Amcache, SRUM ve Jump Lists dizinleri desteklenir; kategori dizinleri açık OutputFiles gerektirir.

Çıktıya göreli yollar ve düzleştirilmiş çok tablolu çıktılar desteklenir. Otomatik ayrıştırmanın planladığı tüm artefaktlar; tarayıcı, WebCache, Outlook ve UAL dahil tanınır.

Manifestteki VHDX/E01 görüntülerinde kaynak referansı görüntüyü ve iç yolu içerir; görüntü adı bağlamda korunur. Sonuçları okumak için geçici hazırlama dizini gerekmez.

Kayıttan ham bir kaynak veya net bir bildirim komutu alınır. -d ile ham kaynak referansları kanıt dizinine göredir ve Details.ParsedFile ayrıştırılan dizine göredir. SRUM CSV tabloları, yalnızca ana bilgisayarın benzersiz şekilde tanımlanabilen toplanmış bir SRUDB.dat dosyasına sahip olması durumunda bir veritabanına atanır. Aksi halde SourceFile ayrıştırılmış dosyayı işaret eder ve Details.RawSourceAvailable, false'tir.

Bağımsız bir girişe dosya adıyla başvurulur. Aynı dosya adına sahip girişler farklı ./Inputs/<ID>/<filename> referanslarını kullanır. Bilinen kanıt köklerinin dışındaki mutlak ham kaynak yolları, ./Sources/<ID>/<filename> tanımlayıcılarını kullanır. Bu şeffaf olmayan referanslar, analistin mutlak dizin adlarını dışa aktarmadan kaynak ayrımlarını korur; Orijinal kaynak için ParsedFile ve InputRecord'i kullanarak yerel kayda bakın. Kanıta kaydedilen Windows yürütülebilir yolları gibi yollar değişmeden kalır.

Ortak olay alanları¶

Alan	Anlam
`Timestamp`	Tutarlı sıralama için dokuz ondalık basamaklı UTC RFC 3339. Sıfır eklemek hassasiyeti artırmaz.
`Comp`	Girdi kaydının bilgisayarı.
`Artifact`	`mft`, `prefetch`, `srum` veya `hayabusa` gibi kararlı artefakt kimliği.
`TimestampType`	`MFT SI Data modified` gibi zaman damgasının anlamı.
`User`	Varsa kayıtlı hesap veya SID; boş olabilir.
`Path`	İlgili dosya, kayıt defteri anahtarı veya artefakta özgü nesne.
`Message`	Zaman çizelgesi görüntüleyicisi için kısa açıklama.
`SourceFile`	Kanıta dayalı ham kaynak referansı veya kökü bilinmediğinde göreceli kaynak tanımlayıcı; aksi takdirde yukarıda açıklanan ayrıştırılmış dosya geri dönüşü.
`SourceField`	Zamanı sağlayan tam alan veya iç içe konum.
`RecordID`	Artefakta özgü kayıt kimliği; mutlaka EVTX kayıt ID değeri değildir.
`Details`	Özgün zaman, hassasiyet, zaman temeli/rolü, dosya, kayıt/konum ve kurtarma/kural metaverilerinin yapılandırılmış bağlamı.

CSV içinde Details, tırnaklı JSON hücresidir; JSONL içinde nesnedir. Timesketch profili Timestamp, TimestampType, Message alanlarını datetime, timestamp_desc, message olarak adlandırır; diğer kaynak alanlarını korur. Bunlar Timesketch'in zorunlu üç alanıdır.

Details tüm ikili veriyi ve yerel alanları değil, seçilen bağlamı içerir. Uzun metin ve yapılar sınırlandırılıp ProjectionOmitted ile işaretlenir. Tam kayıt için Details.ParsedFile, InputRecord, Location kullanılır. CSV numarası başlıktan sonraki CSV kayıtlarını sayar, hücre içindeki fiziksel satırları değil. JSONL için satır; JSON için üst belge numarası ve iç konumdur.

Zamanların anlamı¶

Zaman damgası kayıtlı nesneye ilişkin kanıttır; tek başına yürütme veya saldırı kanıtı değildir. Adaptörler şu ayrımları korur:

Artefaktlar	Zaman çizelgesindeki yorum
MFT	SI/FN değiştirme, erişim, metaveri değişimi ve oluşturma zamanları ayrıdır; adlandırılmış FN öznitelikleri korunur. `--sort` ile yinelenen SI alanları birleştirilir. ADS satırlarının ortak temel dosya zamanları her iki modda da dışlanır. FILE kayıt boşluğundan kurtarılan adlar ayrı kurtarılmış FN olaylarıdır.
I30	Kaydedilmiş FN/indeks metaverileri ve varsa boşluk/kurtarma bağlamı; dizin indeksinin yazılma zamanı değildir.
USN Günlüğü	Günlük zamanı ve değişiklik nedenleri; bir kayıt birden fazla değişikliği tam başlangıç saati olmadan açıklayabilir.
LogFile	Saklı redo/undo zaman görüntüleri ve dosya adları ayrı tutulur. LSN ve dosya ofsetleri kimliktir, tarihe çevrilmez.
Prefetch	Kayıtlı yürütmeler; `--sort` ile eşleşen Prefetch zaman çizelgesiyle birleştirilir. Birim oluşturma metaverileri ayrıca etiketlenir.
Tarayıcı SQLite veritabanları	Ziyaretler, kurtarılan son ziyaretler, indirme başlangıç/bitişi, çerez zamanları ve form ilk/son kullanım ya da silme izleri. Bitiş başarı/yürütme kanıtı değildir; çerez son kullanımı yapılandırılmış süredir. Kurtarma durumu, güven ve köken korunur.
Internet Explorer / eski Edge WebCache	Erişim, oluşturma/değiştirme, son kullanma, eşitleme, indirme, çerez ve kapsayıcı bakım zamanları. Önbellek bakımı kullanıcının sayfayı açtığını otomatik olarak kanıtlamaz.
Outlook PST, OST, MSG ve OFT	İleti gönderimi/teslimi, klasör/öğe/ek oluşturma-değiştirme, takvim ve görev zamanları, hatırlatmalar ve açıkça zaman türündeki özellikler. Planlanan saat toplantı, hatırlatma veya yürütme kanıtı değildir; teslim, okuma kanıtı değildir.
Kullanıcı Erişim Günlüğü (UAL)	İlk/son erişim meta verileri, veritabanı ekleme/oluşturma, ilk/son görülme ve depolanan işletim sistemi önyükleme süresi. Rol, hesap, kaynak adresi ve günlük sayaçlar bağlam olarak kalır. Günlük tarihler/sayımlar gece yarısı oturum açmaları icat edilmemiştir; zamanlanmamış kimlik ve DNS satırları orijinal ayrıştırılmış sonuçlarda kalır.
Amcache	Envanter anahtarı yazımı, üst birim bağlamı, kurulum ve PE bağlama metaverileri. Envanter veya LinkDate tek başına yürütme kanıtı değildir.
ShimCache	Dosya değişikliği, önbellek güncellemesi ve anahtar son yazımı otomatik olarak yürütme zamanı değildir.
SRUM	Sağlayıcı zamanı/aralığı, bağlantı başlangıcı, açık başlangıç/bitiş ve uygulama kimlikleri. Bayt, süre ve sayaçlar tarih değildir.
LNK	Hedef MAC, izleme kimliği ve shell öğesi zamanları saklı hedef metaverisidir; kısayolun açılma zamanı olmayabilir.
Jump Lists	Son kullanım, izleme kimliği ve gömülü LNK hedef zamanları. Toplama sistemindeki kapsayıcı dosya zamanları varsayılan olarak dışlanır.
Defender karantinası	Kayıt zamanı ve kaynak oluşturma/erişim/yazma zamanları. Çıkarma saati uç nokta etkinliği değildir.
BAM, UserAssist, FeatureUsage	Kayıtlı etkinlik ve ayrı anahtar yazma bağlamı. Zamansız sayaç olay üretmez.
RecentDocs, MRU, Aç/Kaydet MRU, ShellBags, Office	Kullanım/güven/shell zamanları ve anahtar bağlamı. Liste anahtarının zamanı her öğenin son kullanımı değildir.
SAM ve LSA sırları	Hesap giriş/parola/son kullanma, sır güncelleme ve anahtar metaverileri kimlik doğrulama olay günlüklerinin yerini almaz.
Hizmetler, TaskCache, kayıt defteri kalıcılığı, BCD	Anahtar/yapılandırma ve açık görev zamanları. Hizmet anahtarı yazımı çalıştırılma kanıtı değildir.
Ağlar ve USB	Ağ profili/kira, aygıt kurma/geliş/çıkarma ve anahtar bağlamı. Yerel USB kullanıcı MountPoints2 zamanları ilgili kullanıcı kovanını korur.
Sistem bilgisi, kurulu programlar, AppCompat, uygulama geçmişi	Kurulum, kapanma, envanter/etkinlik ve anahtar metaverileri. Yerel profil/sürüm dizilerinin iç zamanları korunur.
Denetim ilkesi, güvenlik ayarları, MuiCache, genel kayıt defteri	Varsa anahtar son yazımı; zamansız değer ve sayaçlar yerel girdide kalır.
Persistence Hunter	Destekleyici anahtar yazımı ve ilişkili değişim. Bulgu tek başına zamanlanmış kurulum veya ihlal hükmü değildir.
Hayabusa	Kural, seviye, kanal, olay ID ve bağlamla olay/uyarı zamanı. Farklı kurallar ve korelasyon satırları ayrı kalır.

Varsayılan dışa aktarım, yinelenen metaveriler dahil zaman damgalarından üretilen tüm olayları korur; genel sıralama yapmaz ve yinelenenleri birleştirmez. --sort ile yinelenen olaylar birleştirildiğinden aynı girdilerin sıralanmamış dışa aktarımından daha az satır çıkabilir. Eşit zamanlı fakat anlamı veya kaynağı farklı olaylar her iki modda da korunur. Kimlik; bilgisayar, kaynak, artefakt, kayıt, zaman anlamı ve kurtarma durumunu içerir. Birleştirmeler DuplicateCount ve sınırlı alternatif referansları taşır. Yalnızca benzer yol/zamanla farklı kaynaklar birleşmez. Ham kaynak yoksa girdi kimliği ayrı toplamaları korur.

Hassasiyet, yerel saat ve varsayımlar¶

Bilinen UTC alanları ve açık ofsetler UTC'ye çevrilir. 100 ns FILETIME dahil özgün hassasiyet saklanır; önceden yuvarlanan hassasiyet geri getirilemez.

Bazı shell/FAT alanları Z ile yazılsa bile yerel saattir. Değer ve köken korunur ama eksik saat dilimi veya önceki dönüşüm doğrulanamaz. Kesin makineler arası ilişki için özgün artefaktı ve sistem ayarlarını inceleyin.

Yapıt tanımlı saat dilimi olmayan saf bir zaman damgası, sessizce UTC olarak ele alınmak yerine çözümlenmemiş olarak sayılır. Kanıt bunu haklı çıkarıyorsa, imzalı bir sabit mahsup sağlayın:

juntei super-timeline -f Amcache.jsonl --input-artifact amcache \
  --assume-offset "+09:00" -o Timeline.csv

Yalnızca tarihler de bu seçeneği gerektirir; gece yarısı gün hassasiyetli varsayımdır, gözlenen olay değildir. Saat dilimi adları ve yaz saati kabul edilmez. Eksik, sıfır, bozuk veya aralık dışı değerler yapay epoch olayı üretmez; geçerli açık 1970 tarihi korunur.

İki kategori varsayılan olarak dışlanır:

--include-collection-times: toplama/analiz sistemindeki LNK/Jump List kaynak dosya zamanları, collection_filesystem olarak uç nokta etkinliğinden ayrılır.
--include-interpreted-times: okuyucunun FILETIME olarak yorumladığı genel kayıt defteri QWORD değerleri. Çoğu sayaç olduğundan interpreted_value etiketi taşır.

Çıktı ve atlanan kayıtlar¶

Komut, yalnızca -o ile seçilen zaman çizelgesini, -t (varsayılan olarak csv veya jsonl) ile seçilen formatta yazar. Zamanlanmamış, tanılayıcı veya özet tamamlayıcı dosyalar ya da kayıt başına tanılama biriktiricileri oluşturmaz. Daha önceki çalıştırmalardan mevcut tamamlayıcı dosyalara dokunulmaz.

Terminal özeti, zaman çizelgesi olaylarının ve zamanlanmamış kayıtların sayısını rapor eder. Sıfırdan farklı geçersiz zaman damgası ve çözümlenmemiş saat dilimi sayıları ayrı ayrı gösterilir. --sort ile birleştirilmiş kopyaların sayısını da rapor eder. Bir zaman çizelgesi olayı oluşturmayan kayıtlar ve tüm yapı bağlamı için orijinal ayrıştırılmış sonuçları saklayın.

Gerekçeli bir saat dilimi varsayımını bekleyen geçerli tarihler, geçersiz zaman damgaları yerine çözümlenmemiş saat dilimleri olarak sayılır. Hiçbir zaman damgası icat edilmez ve kullanılabilir bir eşlenmiş zamanı olmayan kayıtlar, sentetik çağ olayları olarak zaman çizelgesine eklenmez.

Geçerli süreleri istenen aralığın dışında olan kayıtlar, süresiz değil, filtrelenmiş olarak sayılır. Başarılı bir dışa aktarma, seçilen ayrıştırılmış girişlerin başarıyla işlendiği anlamına gelir; bu, her eserin toplandığı, her alanın bir zaman damgası olduğu veya her saldırının tespit edilebildiği anlamına gelmez.

CSV, sistem profilleri, USB kullanıcı bağlama noktaları ve shell yapılarını düzleştirebilir; yerel JSON/JSONL daha zengindir. CSV ile kaybolan veri geri üretilemez. Desteklenmeyen artefaktlar ve bozuk girdiler kısmi başarı değil hata verir.

Performans ve güvenli çıktı¶

Girdiler akışla paralel işlenir. Varsayılan olarak her işçi biçimlendirilmiş bir olay parçası yazar; parçalar sıralanmadan ve olay yapıları yeniden okunmadan girdi dosyası sırasıyla uç uca eklenir. Birden çok dosya işlense de CSV tek başlık içerir. Çıktı sırası işçi sayısından bağımsız olarak deterministiktir; kronolojik sıra anlamına gelmez.

Input files, seçilen ayrıştırılmış girişlerin ve Hayabusa zaman çizelgelerinin birleşik boyutunu gösterir. Results saved kaydedilen zaman çizelgesi dosyasının boyutunu gösterir. Her ikisi de auto-parse ile aynı insan tarafından okunabilen KiB/MiB/GiB birimlerini kullanır.

--sort ile tamponlar özel geçici dizine taşar, ardından sınırlı birleştirme geçişleri kronolojik çıktı üretir. Sıralama tam saniye/nanosaniye kullanır, 1970 öncesini de destekler. Eşit zamanların sırası işçi ve bütçeden bağımsızdır. İlerleme çubuğu, tekrarlanan geçişler dahil ara ve son birleştirmelerde işlenen her olayla ilerler; terminalde görünür, çıktı yönlendirildiğinde gizlenir.

--memory-limit yalnızca --sort ile geçerlidir: toplam sıralama tampon bütçesidir, işlem RSS sınırı değildir. Kayıtlar, JSON nesneleri, CSV tamponları ve birleştirmeler ek bellek ister; küçük bütçe işçi sayısını azaltır. --max-record-size varsayılan 16 MiB kayıt sınırıdır. Biçimli JSON dizisi tek belge sayılır; gerekirse sınırı artırın veya JSONL kullanın. CSV ön okuması da sınıra dahildir.

Geçici disk, sonuçlara ek olarak biçimlendirilmiş olay parçalarını (varsayılan) veya genişletilmiş sıralama kayıtlarını ve birleştirme geçişlerini (--sort) karşılamalıdır. Her iki modda da çıktı geçici olarak hazırlanır ve girdi hatasında yayımlanmaz. Bir kayıt çok olay üretebilir; gerektiğinde zaman/artefakt filtreleyip yeterli boş alan seçin.

Ctrl+C birlikte iptal eder, özel sıralama/hazırlama dizinlerini kaldırır ve 130 koduyla çıkar. Linux ve macOS'te bu aynı zamanda SIGTERM ve SIGHUP için de geçerlidir. İptal, yayın başlamadan önce zaman çizelgesinin okunması, normalleştirilmesi, birleştirilmesi ve yazılması sırasında kontrol edilir. Yakalanamayan sonlandırma veya güç kaybı hala geçici dosyalar bırakabilir.

Mevcut çıkışlar -C gerektirir. Zaman çizelgesi girdilerin, bildirimlerin, başvurulan yerel kanıtların veya bunların korunan kanıt dizinlerinin üzerine yazılmamalıdır. Giriş hataları veya sıralama hataları mevcut zaman çizelgesine dokunulmaz. Tamamlanan zaman çizelgesi, varış yerinin yanına yerleştirilir ve atomik olarak onun yerine geçer. Daha önceki tam bir dışa aktarma işlemini korurken her çalıştırma için yeni bir çıktı dosya adı kullanın.

Ayrıntılar¶

Akım Juntei girişler aşağıdaki gibi kısaltılmış etiketleri kullanır: Comp, Filename, Args Ve Attr. MFT CSV aynı zamanda mevcut durumu da kabul eder File, SN, ParentEntryNum, ParentSN, Type, USN, LogfileSN Ve HasADS başlıklar, sıra numarası nesillerini tutarak ve DOS/ADS ayrımlar bozulmadan. Dışa aktarılan eski etiketler kabul edilmeye devam eder ve SourceField gerçek girişteki yazımı korur. Hayabusa girdi kendi değerini korur Computer alan. Etkinlik zaman damgaları olmayan önyükleme sektörü ve güvenlik tanımlayıcı meta verileri, orijinal ayrıştırılmış sonuçlarda kalır; zaman çizelgesi olayları yaratmaz.

Yeni çok tablolu ayrıştırıcılar¶

Yerel JSON/JSONL tablo adını içerir. Bağımsız CSV için tarayıcı, WebCache ve Outlook sütun şemasını kullanır; CSV dosyasını yeniden adlandırmak veya kaynak eki yorumlamayı değiştirmez. UAL bilinen zaman alanlarını kullanır, sayaçları veya tarih benzeri metni tarih saymaz.

Outlook özellikleri yalnızca bildirilen zaman/çoklu zaman türünde yansıtılır. Tarihli metin metin kalır. Gömülü iletiler kimlik/üst referanslarını korur; çıkarma zamanı ekin kayıtlı zamanı yerine geçmez. Zamansız satırlar yerel veri ve ek raporda izlenebilir.

Aynı CSV/JSONL şemaları geçerlidir; yeni artefakt yüzlerce CSV sütunu eklemez. Özel bağlam Details içindedir.