「FJTA」に通したら、日付を書き換えたファイルが浮かび上がった | FJTA（Forensic Journal Timeline Analyzer）

どんなアプリか

FJTA は、Linux のファイルシステム（ext4・XFS）のジャーナルを解析し、タイムラインを作って不審な操作を検出するツールです。ここでいうジャーナルはファイルシステムのもので、systemd-journald のログではありません。

README によると、ジャーナル内の出来事を時系列に並べ、削除されたファイルや改ざんの疑いがある操作を見つけます。ファイルの作成・削除、拡張属性の変更、タイムスタンプの改ざん（Timestomping）を ext4・XFS の両方で検出できると表に示されています。

結果は1行に1つの JSON（JSON Lines）で標準出力に書き出されるため、README では jq で inode 番号やファイル名、文字列を条件に絞り込む使い方が紹介されています。jq・awk・column を組み合わせて、持ち出されたファイルの一覧を確かめる例も載っています。

読み込めるのは RAW・EWF・VMDK・VHD / VHDX のディスクイメージと、ext4・XFS のパーティションです。ジャーナルを書き出したファイルも解析でき、その場合はスーパーブロックの情報（ext4 は dumpe2fs、XFS は xfs_info の出力）も一緒に書き出しておく必要があります。

同じ分野のアプリ

名前	型	仕掛け	対応	料金
FJTA	ジャーナル解析	ext4・XFS のジャーナルからタイムラインを作り、不審な操作を検出	CLI（Python）	無料（OSS, Apache-2.0）
WELA（ゑ羅）	ログ設定の監査	フォレンジックに必要なイベントが記録されているかを確認・設定	Windows（PowerShell）	無料（OSS, MIT）
YAMAGoya	マルウェア検知	ETW でイベントを集め、YARA・Sigma のルールでメモリ上のマルウェアを検知	Windows（C#）	無料（OSS、ライセンス要確認）
mirai-toushi	マルウェア解析	Mirai とその亜種の検体から暗号化された内部情報を自動抽出	OSS（GitHub）	無料

入れる前に

Since testing is only being done with simple disk images, there may be many issues when analyzing more practical disk images.

FJTA の README（GitHub）の注意書き

README の注意書きでは、テストは単純なディスクイメージでしか行っておらず、実際の調査に近いディスクイメージでは問題が多く出る可能性があるとしています。開発中のため、解析できないファイルシステムのデータもあると書かれています。

対応範囲には制限があります。LVM、ext4 の fast commit、外部ジャーナルには対応しておらず、ext4 は「data=ordered」で記録されたジャーナルに限られます。XFS はバージョン5（inode バージョン3）が対象です。

Python で書かれていて、どの OS でも解析できるとされています。動作確認は Ubuntu 24.10 と Rocky Linux 9.4 で行われています。使うには The Sleuth Kit（TSK）と、pytsk3 などの Python パッケージを先に入れる必要があります。