溯源思路与流程68 条

dynamic 时间线：用 SQL 查询事件

psort 的 dynamic 输出是 SQLite 数据库，可以用标准 SQL 做聚合、关联与抽样，适合多轮反复探索同一份数据。

取证与溯源速查安全更新于 2026-10-12

表	events（时间戳、描述、类型、消息等列）
用法	对照 plaso 文档字段名写查询

抽样与聚合

sqlite3 slice.plaso "SELECT timestamp, timestamp_desc, message FROM events ORDER BY timestamp LIMIT 20;"
sqlite3 slice.plaso "SELECT substr(timestamp,1,13) h, count(*) FROM events GROUP BY h ORDER BY h LIMIT 24;"

列名以实际库结构为准，可先执行 .schema events 查看。

易错点

.schema 输出较长，先看列名再写 SELECT
timestamp 为文本时按字典序排序，格式统一才能得到正确顺序

数据来源与参考

Plaso 官方文档（dynamic 输出）
SQLite 官方文档

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌