| 采集 | log2timeline.py timeline.plaso <镜像/目录> |
|---|---|
| 导出 | psort.py -o l2tcsv -w timeline.csv |
| 过滤 | psort 支持时间过滤表达式 |
| 轻量 | fls + mactime 生成 body file |
生成并导出时间线
生成并导出时间线
log2timeline.py /evidence/timeline.plaso /evidence/disk.img
psort.py -o l2tcsv -w /evidence/timeline.csv /evidence/timeline.plaso "date > '2026-10-01 00:00:00'"
head -n 5 /evidence/timeline.csv大镜像解析耗时长：先用时间窗与关键分区缩小范围，再全量跑。