本包目录（137 条）

时间线还原方法

把多源事件按统一时区排序成一条时间线：登录、进程创建、网络外联、文件落地、账号变更——事件顺序给出因果链。

用途	用顺序关系替代单点猜测
输入	多源日志/痕迹（统一时区）

时间线骨架

时间 | 来源 | 主机 | 事件 | 证据位置
03:11 | auth.log | web-1 | SSH 登录成功 | 行号
03:12 | auditd | web-1 | 执行 bash | event 1234

每条记录带证据出处，时间线即报告核心章节。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌