溯源思路与流程68 条

psteal 一步生成时间线

plaso 的 psteal 封装了采集与输出两个阶段，适合快速得到一次性时间线；对大型镜像仍有耗时，需要评估磁盘与内存占用。

适用	中小镜像或先看概览再深挖
产物	CSV 时间线 + 采集统计

快速时间线

psteal.py --source /evidence/disk.E01 -o l2tcsv -w quick.csv
head -3 quick.csv

一次性输出不保留中间 plaso 存储，后续要换过滤条件时需重新解析，大镜像上代价高。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌