アンタイ・フォレンジック妖怪の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

Log2timeline.py(Plaso)によるタイムラインの作成(21)

Log2timeline(Plaso)には、クラウドストレージに対応したプラグインとして、GoogleDriveParser(Parser for Google Drive snapshot.db files)と、SkyDriveLogParser(Parse SkyDrive log files)の二つが提供されています。これら二つのパーサは Ver 0.66 には無いものです。

 

まずは、Google Driveのパーサから試してみたいと思います。処理対象としている snapshot.db は Google Driveのアプリケーションを Windows にインストールすると作成されるファイルでしょうかね。

Google DriveのアプリケーションをWindowsにインストールした場合、ドキュメント用のフォルダとしては C:\Users\<ユーザー名\Google ドライブ がストレージとの同期用に設定されます。

設定関連は C:\Users\<ユーザー名>\AppData\Local\Google\Drive フォルダ配下になり、このフォルダに Plaso が対象としている snapshot.db が存在しています。ファイルの中身としてはSQlite3形式のデータベースファイルになります。(このフォルダには他にも sync_log.log など時刻情報を含むデータもあります)

root@siftworkstation:/cases# log2timeline.py --parsers GoogleDrive --output L2tcsv --logfile out.log -d gdrive_timeline.txt /cases/GoogleDrive/

結果は下記になります、残念ながらレコードは1件も出力されてきませんでした。

date,time,timezone,MACB,source,sourcetype,type,user,host,short,desc,version,filename,inode,notes,format,extra

 

 

 SQlite系のパース処理に現在問題があるという事でしょうかね?

 

参考URL:

Google Drive Forensics Notes

https://sysforensics.org/2012/05/google-drive-forensics-notes.html