| 列结构 | timestamp_utc, host, source, event, ref |
|---|---|
| 排序 | 按 timestamp_utc 升序 |
合并示例
合并示例
head -1 h1.csv > all.csv
tail -n +2 h1.csv >> all.csv
tail -n +2 h2.csv >> all.csv
sort -t, -k1,1 all.csv > merged.csv
wc -l merged.csv各来源 CSV 的列语义要对齐后再拼接，否则某列会出现两种含义。
多主机时间线合并
把各主机的规范化时间线带主机列合并，统一列结构与排序后再分析；合并前先各自完成时区换算与偏移修正。
易错点
- 字段里含逗号会破坏排序键，导出时统一引用或改用制表符
- 先把重复表头清干净再拼接
数据来源与参考
- GNU coreutils（sort/head/tail）
- SANS 时间线分析资料