| 过滤 | -q 后接过滤表达式（date、数据源等） |
|---|---|
| 切片 | --slice 起止时间；-o 选择输出格式 |
时间窗导出
时间窗导出
psort.py -q "date > '2026-01-01 00:00:00' AND date < '2026-01-03 00:00:00'" case.plaso -o l2tcsv -w window.csv
psort.py --slice '2026-01-01..2026-01-03' case.plaso -o dynamic -w slice.plaso过滤表达式作用于事件属性；先把常用字段（date、data_type、source）摸清再写条件。