| 来源 | fls/mactime、auth.log、执行痕迹（Prefetch/execve） |
|---|---|
| 窗口 | 围绕锚点前后数小时 |
三来源组合
三来源组合
fls -o 2048 -r -m "/" -z UTC /evidence/disk.dd | mactime -b - -z UTC -d 2026-01-02..2026-01-03 | head -40
sed -n '/2026-01-02 03:00:/,/2026-01-02 06:00:/p' /var/log/auth.log | head -40先出可用结果再补全，是响应期时间线工作的常规节奏。