| 用途 | 建立工具-证据源对照 |
|---|---|
| 组合 | 事件 + 文件系统 + 用户痕迹三层并行 |
工具对照
| 证据源 | 工具 | 输出 |
|---|---|---|
| 事件日志 | EvtxECmd | CSV 时间线 |
| MFT/USN | MFTECmd | 文件系统时间线 |
| 用户痕迹 | JLECmd/LECmd/SBECmd | 访问与打开记录 |
各工具输出统一转 UTC 后合并，形成主时间线。
Windows 痕迹工具链速览
取证工具按证据源分工：EvtxECmd 解析事件、MFTECmd 解析文件系统、JLECmd 等解析用户痕迹：组合成时间线再用。
易错点
- 工具版本差异影响字段，报告注明版本与命令行
- 解析大卷前预留磁盘与内存，先估算体量
数据来源与参考
- Zimmerman 工具集文档（EvtxECmd/MFTECmd 等）