| 组合键 | 时间 + 对象（文件/进程/账号）+ 描述 |
|---|---|
| 真重复 | 同来源多次采集 |
| 伪重复 | 不同来源对同一动作的视角差异 |
组合键统计
组合键统计
awk -F, '{print $1"|"$4"|"$5}' merged.csv | sort | uniq -c | sort -rn | head -20两来源记录同一动作常常是增强证据而非噪声，去重前先看来源列。
时间线去重：组合键识别真重复
不同工具会从不同视角记录同一事件，先按时间+对象+描述生成组合键计数，再人工判定哪些是真重复、哪些是互相印证。
易错点
- 按时间单独去重会误删不同对象的同秒事件
- 去重后要能回到原始行，别丢引用
数据来源与参考
- GNU awk 手册
- SANS 时间线方法资料