アンタイ・フォレンジック伝道者の独り言

基本的にはデジタル・フォレンジックの技術について取り扱っていますが、記載内容には高確率で誤りが含まれる可能性があります。

Log2timeline.py(Plaso)によるタイムラインの作成(30)

Log2timeline.py(Plaso)または Ver 0.66 のパーサをこれまで試してきました。

全てのパーサをテストしてはいませんが、ここまでテストした結果を整理しておきたいと思います。

なお、SIFT 3.0 環境とテストデータによる結果ですので、処理するデータや環境によっては下記と同じ結果にはならない可能性が多分にあります。

特にパースされないケースでは、見落としに繋がる危険性があると思いますので、注意が必要な項目かと思います。 

  1. ChromeHistoryParser : OK
  2. GoogleDriveParser :snapshot.db がパースされない
  3. MsiecfParser : OK(日本語文字列は未検証)
  4. OleCfParser : プロパティの日本語文字列は化けます
  5. OpenXMLParser : パースされない
  6. PcapParser : OK
  7. SkyDriveLogParser : OK
  8. SkypeParser : main.dbがパースされない
  9. WinEvtParser : 日本語文字列は数値参照?になる、Ver 0.66の方が見やすい
  10. WinEvtxParser : Ver 0.66のほうが見やすい
  11. WinFirewallParser : OK
  12. WinInfo2Parser : パースされない、Ver 0.66も同じくパースされない
  13. WinJobParser : OK、タイムゾーンの指定が必要
  14. WinLnkParser : 一部の日本語文字列が化ける、Ver 0.66は完全に化ける
  15. WinPrefetchParser : OK、Ver 0.66は日本語文字列が化けるのでPlasoの方がよい
  16. WinRecycleParser : パースされない、Ver 0.66は日本語文字列が化ける
  17. WinRegistryParser : プラグインによっては日本語文字列が化ける、Ver 0.66もプラグインにより化ける