溯源思路与流程68 条

Timesketch 导入与协作分析

Timesketch 支持把 CSV/plaso 时间线导入 Sketch 做可视化和多人批注，导入前把时间列与描述列映射正确。

CSV 关键列	message、datetime、timestamp_desc
使用场景	团队并行标注、按特征搜索事件

命令行导入

timesketch_importer.py -s CASE-01 -t host-linux timeline.csv
# 或先部署 timesketch 服务后用 Web 界面导入

导入时间列要带时区偏移或统一 UTC，否则 Sketch 内时间轴会错位。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌