溯源思路与流程68 条

时间线降噪：先缩小解析范围

全量解析镜像会引入大量低价值事件，按分析问题先选定解析器集合或目录范围，再逐步扩大，是控制时间线信噪比的常规手段。

手段	--parsers 指定解析器；分区/目录范围裁剪
节奏	先假设驱动的小时间线，再按需扩面

限定解析器

log2timeline.py --parsers 'winevtx,prefetch,winreg' --storage-file win.plaso /evidence/disk.E01

解析器名称以当前版本为准，用 log2timeline.py --parsers list 验证可用集合。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌