时间线图示怎么做才有效
报告中的时间线图用纵向时间轴加横向类别轨道就能表达事件节奏：登录、执行、网络、文件各占一条轨道，锚点与关键节点加文字标注。这种朴素结构比装饰性强的图更利于读者同时对照时间与类别，也更容易从数据重新生成。图本身不是证据，它只是帮助理解时间线的辅助材料，因此生成脚本与输入数据要一并归档，后续任何数据改动都能重新出图。
基本信息
| 结构 | 时间纵轴 + 类别轨道（登录 / 执行 / 网络 / 文件） |
|---|---|
| 标注 | 锚点与关键节点加简短文字 |
| 数据源 | 时间线 CSV，一行一个事件 |
| 归档 | 生成脚本与输入数据一并保存 |
典型使用场景
- 向管理层说明事件节奏，避免长时间读表格
- 展示锚点如何约束多主机的时钟偏移
- 对比两台主机在同一时间窗内的行为差异
- 标记证据链中的关键节点与待确认节点
- 为口头汇报准备一页可复述的图示
用文本图打底
用文本图打底
03:20 | 登录 H1(203.0.113.10)
03:24 | sudo 提权
03:25 | 外联 updates.example.invalid 首次
03:41 | 上传约 12MB（netflow 估计）
04:05 | 隔离 H1
# 先出文本版核对事件与时间，再按同一数据生成图形版图示要素读法
| 要素 | 作用 | 注意事项 |
|---|---|---|
| 纵轴刻度 | 建立统一时间基准 | 跨主机时标注已校正的偏移 |
| 类别轨道 | 把同类事件归到一列 | 轨道过多会失去可读性 |
| 文字标注 | 说明事件内容与来源 | 标注要与正文表述一致 |
| 图例 | 解释符号与颜色 | 颜色不应承担唯一区分功能 |
图与表要一致：任何一次数据修订都应重新出图，同时把图对应的数据版本写进报告，避免正文表格与图示讲两个故事。
纯截图式的图无法复算，也无法核实数值来源；用脚本从时间线 CSV 生成的做法可以让读者按同一输入重跑一遍。
不要把推测性事件与已验证事件画成同样样式，图形上必须能区分证据强度，否则读者会把推断当成结论。