| 格式 | UTC 时间 + 主机 + 动作 + 操作人 |
|---|---|
| 载体 | 独立日志文件，结束后归档 |
| 要求 | 先记录后执行，禁止事后补记 |
| 用途 | 复盘、取证报告、对外沟通 |
一行一条，边处置边记录
一行一条，边处置边记录
export HISTTIMEFORMAT='%F %T '
echo "$(date -u +%FT%TZ) $(hostname) blocked C2 203.0.113.10; operator=zhang" | tee -a /evidence/ir_timeline.log时区不统一是复盘最大的坑：全部用 UTC，或在每条记录中显式标注时区。