时间线还原的方法
把多源事件换算到统一时间基准后按时间排序，就得到一条时间线。它的价值在于用顺序关系替代单点猜测：登录、进程创建、网络外联、文件落地、账号变更按先后排列后，因果链自然浮现。做法上先统一时区与修正时钟偏移，再把每个来源规范成同结构记录（时间、来源、主机、事件、证据位置），最后合并排序。每条记录都必须能追回原始证据，否则时间线只是叙述而非证据。
基本信息
| 输入 | 多源日志与痕迹：认证日志、审计日志、进程与文件元数据、流量日志 |
|---|---|
| 前提 | 统一时区（UTC）、修正时钟偏移、记录修正量 |
| 列结构 | 时间、来源、主机、事件、证据位置 |
| 排序 | 按 UTC 时间升序，格式统一便于字符串排序 |
| 粒度 | 主机级、账号级、全局级三种时间线按需分层 |
| 产出 | 时间线表 + 关键节点说明，作为报告核心章节 |
典型使用场景
- 还原一次入侵的完整动作序列：从入口到扩散到持久化
- 验证单条线索的可信度：与同刻其他来源是否一致
- 确定处置时点：哪些动作发生在清理之前或之后
- 为报告提供可复核的顺序依据，替代「先后可能」类的推测
- 交叉核对当事人自述的操作时间与实际记录
- 为复发排查提供基线：相同序列是否再次出现
时间线骨架
时间线骨架
时间(UTC) | 来源 | 主机 | 事件 | 证据位置
2026-01-02T03:11Z | auth | web-1 | SSH 登录成功 (ops) | auth.log 行 4212
2026-01-02T03:12Z | auditd | web-1 | 执行 bash | audit.log event 1234
2026-01-02T03:13Z | 文件系统 | web-1 | /tmp/x.sh 落地 | istat inode 12845
2026-01-02T03:15Z | flow | fw-1 | 外联 203.0.113.9:443 | netflow 15:00 桶
# 每行都必须能追回原始证据位置，否则不进时间线时间线逐列读法
| 列 | 含义 | 判读要点 |
|---|---|---|
| 时间 | 统一为 UTC 的事件时刻 | 跨天记录要保留日期；本地时间已在换算时去掉 |
| 来源 | 证据类型（日志、审计、文件系统、流量） | 多个来源同时出现的事件可信度最高 |
| 主机 | 事件所在主机 | 多主机合并时靠它区分同名事件 |
| 事件 | 做了什么，写成可核对的描述 | 避免含糊表述，如「疑似异常」应换成具体动作 |
| 证据位置 | 文件与行号、inode、事件编号 | 缺失这一列的时间线无法复核 |
每条记录带证据出处，时间线即可直接作为报告章节。冲突或不一致的读数要在表内标注，而不是挑一个写上去。
时区不统一会做出因果颠倒的结论。宿主机与容器、设备日志与主机日志的时间源常常不同，先统一再排序，并把换算说明写进报告。