首页/安全/取证与溯源速查/用 Python 归并多源时间线
溯源思路与流程68 条

用 Python 归并多源时间线

pandas 适合做结构化归并与字段统一:先把各源时间列解析为统一时区,再拼接排序,最后写回 CSV 供分析。

取证与溯源速查安全更新于 2026-10-12
要点parse_dates + 统一 UTC
注意拼接前列名与语义保持一致

归并示例

归并示例
import pandas as pd

a = pd.read_csv('linux.csv', parse_dates=['ts'])
b = pd.read_csv('win.csv', parse_dates=['ts'])
tl = pd.concat([a, b], ignore_index=True)
tl['ts'] = pd.to_datetime(tl['ts'], utc=True)
tl = tl.sort_values('ts')
tl.to_csv('merged.csv', index=False)
示例假定两源已按 UTC 记录;若带时区偏移,先转换再拼接。

易错点

  • 不加 utc=True 时不同偏移无法直接比较
  • 大 CSV 注意内存,必要时分块读取

数据来源与参考

  • pandas 官方文档(read_csv / to_datetime)
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌