| 方法 | 按小时计数并画成简表 |
|---|---|
| 排除项 | 睡眠/停机窗口、日志保留期起点 |
按小时统计
按小时统计
awk -F, '{print substr($1,1,13)}' merged.csv | sort | uniq -c > hourly.txt
sed -n '1,12p' hourly.txt缺口时段要回查该主机是否发生过重启或日志轮转，避免把正常停机误判为清理痕迹。
时间线缺口分析
把事件按小时聚合条数后观察缺口，缺口可能是停机、日志未开、被清理或无关时段，需要交叉其他痕迹排除。
易错点
- 先把时间格式统一到 YYYY-MM-DDTHH 再截取
- 缺口 ≠ 无活动，先排除采集盲区
数据来源与参考
- SANS 时间线分析资料
- GNU awk 手册