Comment analyser un profil de navigateur dans votre navigateur

Le déroulé ci-dessous suppose que vous disposez d'une copie de profil sur disque et de quelques minutes pour la trier. C'est exactement la séquence que je lance avant de décider si un poste mérite une extraction plus profonde (MFT, USN, EVTX) ou si le récit côté navigateur se suffit à lui-même.

1. Acquérir le profil correctement

Copiez l'intégralité du dossier de profil, pas uniquement History. Pour Chromium, cela signifie Default/ (ou le Profile N/ pertinent). Pour Firefox, le Profiles/<xxxx>.default-release/ au nom aléatoire. Pour Safari, à la fois ~/Library/Safari/ et le conteneur sous ~/Library/Containers/com.apple.Safari/Data/Library/.

Assurez-vous que les fichiers complémentaires -wal et -shm suivent. Voir l'article sur la récupération du WAL pour comprendre pourquoi cela ne se négocie pas.

Si le navigateur est en cours d'exécution, fermez-le proprement, imagez le volume ou collectez via une Volume Shadow Copy. Un xcopy en direct d'un fichier SQLite verrouillé est une mauvaise idée.

2. Charger

Glissez tout le dossier de profil sur la zone de dépôt. L'envoi par dossier est important car il associe automatiquement History avec History-wal et regroupe chaque répertoire LevelDB comme un magasin unique plutôt qu'un amas de fichiers .ldb.

L'analyse se fait côté client. Rien ne quitte la machine ; une exigence de base pour toute acquisition issue d'un environnement réglementé.

3. Lire les tables d'artefacts

Chaque fichier reconnu devient sa propre table. Les badges à côté de chacune indiquent si le parseur l'a ouverte proprement ou s'il est passé en mode best-effort (typique pour les LevelDB à moitié écrits et les cas de cookies corrompus). Utilisez la recherche et le tri par table pour trier rapidement.

Les champs qui gagnent leur place en premier :

urls.last_visit_time joint à visits.transition pour distinguer la navigation utilisateur des redirections.
downloads.target_path plus downloads_url_chains pour retrouver l'URL source originale même après les redirections côté navigateur.
host_key + creation_utc des cookies pour corroborer des visites que l'utilisateur a pu effacer depuis History.

4. Bâtir une chronologie unifiée

La chronologie fusionne historique, téléchargements, cookies et événements de session en une vue chronologique unique, en normalisant l'époque de chaque navigateur (voir formats d'horodatage). Filtrez par plage de dates ou mot-clé ; groupez par jour pour reconnaître visuellement les motifs.

Pour corréler avec le reste du poste, vous voudrez généralement la même fenêtre depuis :

MFT pour la création/modification des binaires téléchargés.
Journal USN pour les activités de suppression et de renommage à la même période.
Fichiers LNK pour les fichiers téléchargés que l'utilisateur a ensuite ouverts.
EVTX pour l'activité PowerShell ou de processus qui a suivi un téléchargement.

5. Exporter

Exportez n'importe quelle table ou la chronologie filtrée en CSV / JSON. Les exports utilisent des horodatages ISO-8601 UTC stricts, de sorte que la même chronologie s'ouvre de manière identique dans Timeline Explorer, Excel et pandas.