超级时间线：多源时间戳归一方法

把磁盘、内存、日志、注册表等来源的事件按统一时间基准合成一条时间线，是溯源分析的主干工作；plaso 生态用 log2timeline 采集、psort 输出。

输入	磁盘镜像 / 内存镜像 / 日志导出 / 文件系统元数据
输出	l2tcsv、dynamic(SQLite) 等时间线格式

两步走

log2timeline.py --timezone UTC --storage-file case.plaso /evidence/disk.E01
psort.py -o l2tcsv case.plaso -w timeline.csv

--timezone 决定时间戳渲染基准，采集与输出两侧都要显式设置，避免默认值悄悄影响结果。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌