时间线降噪：先缩小解析范围
全量解析磁盘镜像会产出数百万条低价值事件，把这样的时间线直接交给分析人员，等于把问题从取证换成了筛选。常规做法是按分析问题先选定解析器集合或目录范围，只生成与假设相关的小时间线，再随问题推进逐步扩大范围，信噪比可控，结论也更容易被复核。
基本信息
| 主要手段 | 用 --parsers 指定解析器集合，或按时间窗与对象裁剪输出 |
|---|---|
| 推荐节奏 | 假设驱动的小时间线先验证，再按需扩面 |
| 解析器确认 | log2timeline.py --parsers list 查看当前版本可用集合 |
| 多机场景 | 每台主机单独解析与存储，需要关联时再合并 |
| 留痕要求 | 解析器清单与过滤条件写入分析说明 |
典型使用场景
- 入侵窗口与主机范围已明确时，只解析相关工件
- 首次分析用少量高价值解析器快速搭出骨架时间线
- 时间线过于庞大时，回溯是哪一类解析器带入了噪声
- 在报告中说明时间线的覆盖边界，避免被过度引用
- 复核结论时按同一解析器集合重跑，保证结果可比
限定解析范围
限定解析范围
log2timeline.py --parsers list | head -40 # 确认当前版本可用的解析器名称
log2timeline.py --parsers 'winevtx,prefetch,winreg' --storage-file win.plaso /evidence/disk.E01
psort.py -o l2tcsv -w win.csv win.plaso # 导出为 CSV 供筛查
psort.py -o l2tcsv -w win.csv win.plaso 'date > "2026-01-01 00:00:00"' # 只导出关注的时间窗降噪手段对照
| 手段 | 作用 | 代价 |
|---|---|---|
| 限定解析器 | 只解析与问题相关的工件 | 可能漏掉未预料的痕迹类型 |
| 时间窗过滤 | 只导出关注时段 | 窗口外的关联事件会缺失 |
| 按主机分开存储 | 缩小单次分析规模 | 跨主机关联需额外合并步骤 |
| 按用户或目录裁剪 | 聚焦特定对象 | 共享系统文件的活动看不全 |
解析器名称随版本变化，写脚本前先用 --parsers list 核对实际可用的集合，照抄文档里的旧名称可能直接报错，也可能静默地少解析了一部分关键工件。
降噪的本质是取舍：每次限定范围都在放弃一部分可能性，因此解析器清单、过滤条件与放弃的范围都要写进分析记录，避免后续把时间线上的空白误读为主机当时确实没有活动。