O Timesketch monta a linha do tempo de um incidente a partir dos artefatos que o SOC já coleta — logs de endpoint, registros do Windows, arquivos e saídas de coleta — e deixa vários analistas explorarem os mesmos eventos ao mesmo tempo, com anotações, comentários, tags e estrelas. Para uma equipe pequena, o caminho mais curto é processar a evidência com o Plaso, gerar um arquivo de linha do tempo e importá-lo em um sketch do Timesketch, onde a investigação ganha filtro, contexto e memória compartilhada. Este guia mostra esse percurso completo, com um laboratório reproduzível em logs sintéticos.
O que o Timesketch resolve
O Timesketch é uma ferramenta open source de análise forense colaborativa de linhas de tempo. A unidade de trabalho é o sketch: um caso que reúne várias timelines — de hosts diferentes, por exemplo — e apresenta os eventos em uma única vista pesquisável. Cada evento aceita anotação, comentário, tag e estrela, e essas marcações ficam visíveis para todos os colaboradores do caso.
É essa camada de colaboração que muda a rotina de um SOC enxuto: em vez de cada analista manter uma planilha própria de achados, o registro do que foi visto, descartado e confirmado fica junto aos eventos. Na passagem de turno, a investigação continua de onde parou, e o histórico de decisões permanece anexado à linha do tempo.
Pipeline com Plaso e evidência
A matéria-prima da linha do tempo vem do processamento da evidência. O Plaso é um motor em Python usado por várias ferramentas para criar linhas de tempo de forma automática; seu comportamento padrão é gerar a super timeline, agregando em um só lugar os eventos com timestamp espalhados por logs e arquivos de um sistema. Na prática, você aponta o processador log2timeline para uma imagem ou diretório de evidência e recebe um arquivo pronto para importar.
Em um laboratório próprio, o método reproduzível usa apenas logs sintéticos: gere eventos controlados — criação de tarefa agendada, execução de processo simulado, conexão a endereço de teste — processe o diretório com o Plaso e confira se os eventos aparecem na ordem esperada. Este é um exemplo de laboratório documentado, não um caso real medido.
Como subir a linha do tempo
O upload tem três rotas oficiais: a CLI importer, a interface web e a biblioteca de importação. A CLI é a mais usada em automação: instala-se com o pacote timesketch-import-client e roda apontando o arquivo a importar. Se faltarem informações de servidor ou autenticação, a ferramenta pergunta o que falta e grava a configuração para as próximas execuções. Parâmetros úteis do dia a dia: sketch_id, para acrescentar a linha do tempo a uma investigação existente; timeline_name, para nomear o que está subindo; e o filtro de eventos Plaso, que descarta classes de ruído já na importação. Para arquivos maiores, o importador divide o arquivo em partes antes de concluir o envio.
| Rota de upload | Quando usar | Observação |
|---|---|---|
| CLI importer | Arquivo único e automação de rotina | Pergunta e grava a configuração no primeiro uso |
| Interface web | Analista sem linha de comando | Botão de timeline dentro do sketch |
| Biblioteca importer | Integração em scripts próprios | Documentada na API do projeto |
Como analisar o sketch
Com as timelines carregadas, o trabalho é exploração dirigida: buscar pelo usuário suspeito, pelo nome de processo e pela janela de tempo do alerta; marcar com estrela os eventos que sustentam a hipótese; taggear etapas do ataque; e registrar em comentário por que um evento importa. Como o sketch aceita várias timelines, o analista enxerga a sequência cruzando hosts — a conexão anômala em um servidor seguida do primeiro processo estranho em outro.
Essa leitura sequencial sustenta investigações de movimento lateral: o guia de pass-the-hash no SOC lista os eventos de autenticação que merecem estrela nessa fase. Em incidentes que derrubam autenticação forte, a ordem dos eventos conta a história — a análise do bypass de MFA pelo ransomware Gunra mostra quais sinais aparecem antes da criptografia.
Vale registrar os limites: a linha do tempo só é tão boa quanto a evidência que entra. Relógio dessincronizado, log apagado e parser inexistente aparecem como lacuna, não como ausência de atividade. Trate qualquer conclusão extraída de uma janela sem cobertura como hipótese a testar, não como fato.
Checklist do laboratório
- Instale o Timesketch seguindo o guia oficial e crie o sketch do caso de teste.
- Gere logs sintéticos com eventos conhecidos e horários controlados.
- Processe o diretório de evidência com o Plaso até obter o arquivo de linha do tempo.
- Importe o arquivo com o timesketch-import-client, nomeando a timeline.
- Filtre por tipo de evento e pela janela de tempo do teste; marque os eventos esperados.
- Confirme que cada evento sintético aparece exatamente uma vez, na ordem gerada.
- Documente o resultado em comentário no sketch — o laboratório vira ativo citável da equipe.
Se um passo falhar, o problema está no pipeline local: parser ausente, timezone errada ou filtro agressivo demais. Corrija e reimporte; o sketch preserva as timelines anteriores para comparação.
