数字取证中的时间线与应用分析
1. 时间线分析的价值与应用
时间线分析在数字取证中是一种强大且有价值的技术。在分析系统时，我们可能会发现疑似恶意软件的文件，例如“rpcall.exe”。通过时间线分析，我们不仅能找到潜在的恶意软件，还能获取其在系统中激活的相关上下文信息。
比如，从时间线列表中可以看到“vmware - UserAssist - UEME_RUNPATH:C:\System Volume Information...\RP2\snapshot\Repository\FS\sms.exe (1)”，这表明“sms.exe”是在“vmware”用户上下文中运行的，且该可执行文件位于系统还原点（RP2）内。正常情况下，用户无法访问该目录路径，更不用说启动可执行文件了。进一步搜索时间线还发现，在这之前不久运行了“cacls.exe”工具，该工具可用于修改Windows系统上各种对象（如文件、目录、注册表键）的权限。
时间线分析的优势显著：
-检测恶意软件：能比防病毒软件更快地检测到镜像中恶意软件的存在，甚至可替代部分防病毒软件的功能。
-提供上下文信息：帮助我们理解各种数据来源之间的关系，增加对分析结果的相对置信度。
-数据压缩：原始镜像文件可能很大，但生成的时间线文件相对较小，便于存储和分析。例如，一个1.5GB的原始镜像文件，生成的时间线文件不到6MB，压缩后仅511KB。
1.1 时间线分析的适用场景
时间线分析适用于多种数字取证场景，包括：
| 场景 | 说
