三来源法的思路
响应早期往往来不及做整盘时间线，但判断不能等。三来源法用三类最容易取得的证据先拼出关键窗口的时间线：文件系统条目（fls 提取、mactime 汇总）、认证日志（登录与提权记录）、执行痕迹（Linux 的 auditd 执行记录、Windows 的 Prefetch 与进程创建日志）。围绕一个已知锚点事件向前后各取数小时，先把可用结论交出去，再随着数据补齐持续修正。
基本信息
| 适用平台 | Linux 与 Windows 主机均适用（工具按平台替换） |
|---|---|
| 第一来源 | 文件系统：Sleuth Kit 的 fls 与 mactime、时间属性解析 |
| 第二来源 | 认证日志：/var/log/auth.log、/var/log/secure、Security 4624/4625 |
| 第三来源 | 执行痕迹：auditd 的 EXECVE、Prefetch、Amcache、进程创建日志 |
| 窗口选择 | 围绕锚点（首次外联、异常登录、载荷落地时间）取前后数小时 |
典型使用场景
- 事件确认后两小时内产出第一版可用时间线，支撑处置决策
- 判断载荷落地与首次外联的先后关系，确定入口方向
- 在整盘解析尚未完成时先向业务方说明影响范围
- 验证后期完整时间线的关键节点，交叉确认没有解析偏差
- 为现场访谈提供提问依据：围绕具体时间点询问相关人员
三来源组合
三来源组合
# 1) 文件系统条目：按窗口生成 mactime 时间线
fls -o 2048 -r -m "/" -z UTC /evidence/disk.dd | mactime -b - -z UTC -d 2026-01-02..2026-01-03 | head -40
# 2) 认证日志：截取同一时间窗
sed -n '/2026-01-02 03:00:/,/2026-01-02 06:00:/p' /var/log/auth.log | head -40
# 3) 执行痕迹：审计记录与 Windows 侧等价物
ausearch -i -m EXECVE -ts 2026-01-02T03:00:00 -te 2026-01-02T06:00:00 | head -40
# Windows 侧：导出 Prefetch 与进程创建时间后按同一窗口筛选
Get-ChildItem C:\Windows\Prefetch\*.pf | Select-Object Name,LastWriteTime | Sort-Object LastWriteTime三类来源的能力对照
| 来源 | 能回答的问题 | 局限 |
|---|---|---|
| 文件系统条目 | 文件何时出现、修改、删除 | 复制与解压会改写时间，需结合语境 |
| 认证日志 | 谁何时登录、是否提权 | 不含文件与命令细节，日志可能轮转 |
| 执行痕迹 | 某个程序是否运行过、何时运行 | 覆盖范围取决于审计配置，粒度有限 |
先出可用结果再补全，是响应期时间线工作的常规节奏；但这个阶段的结论要标注为初步，正式报告必须基于补齐并核验后的数据。
未做时钟偏移校正的初版时间线，跨主机比较时可能出现顺序颠倒。把偏移量写在工作记录里，报告阶段统一修正。