| 数据源 | auth.log、access.log、audit.log、bash_history、journal |
|---|---|
| 规范 | 统一时区 + ISO8601 前缀（来源/主机） |
| 字段 | 时间、来源、主体、动作、原始行 |
| 产物 | events.tsv，可回溯到原始证据行 |
生成规范化事件表
生成规范化事件表
grep -hE 'Accepted|Failed password' /var/log/auth.log | awk '{print $1" "$2" "$3" AUTH "$0}' > /evidence/events_auth.tsv
awk '{print $4" "$5" NGINX "$7" "$9}' /var/log/nginx/access.log > /evidence/events_nginx.tsv
sort -M -k1,3 /evidence/events_auth.tsv | head -n 30时间线要显式标注证据缺口：某源缺失就留空标记，不要用推测填补。