用途：面向安全事件响应与取证调查，使用开源协作式时间线分析工具 Timesketch，将多源日志与取证产物规范化到统一时间线中进行分析与可视化。
主要能力：Timesketch 含 Web 服务（含 REST API）、OpenSearch/Elasticsearch 存储与检索、PostgreSQL 元数据、Redis 任务队列与 Celery 后台处理。数据流为：证据源经 Plaso/log2timeline 生成 .plaso 文件，或直接以 CSV/JSONL 导入 Timesketch，进入 OpenSearch 索引后在 Web UI 中搜索、分析与构建故事。内置分析器可提取浏览器搜索、事件链、域名、IP/URL/哈希、地理位置、相似事件，匹配 Sigma 规则，识别账户活动并打标签；支持搜索语法、事件标记、注释、保存搜索与协作故事。
使用方式：推荐 Docker 部署，克隆仓库后进入 docker 目录执行 sudo docker compose up -d（默认访问 https://localhost:443）。导入方式包括：log2timeline.py 生成 .plaso 后用 timesketch_importer -s "Case-2025-001" -t "Endpoint-WKS01" evidence.plaso；直接导入 CSV/JSONL；导入 Sigma 规则。分析流程为创建 sketch、添加时间线、运行分析器、搜索过滤、建立 story 并关联 MITRE ATT&CK。可用 timesketch_api_client 做 API 自动化，或用 Dissect 的 target-query 配合 timesketch:// 目标加速解析。
适用场景：Windows 事件日志、Prefetch、MFT、注册表、浏览器历史、Syslog、CloudTrail、Azure 活动日志、防火墙与代理日志等的取证时间线构建，覆盖初始访问、执行、持久化、横向移动、外传等调查环节。
限制：最低 8 GB 内存、4 核 CPU、SSD 存储并安装 Docker 与 Docker Compose；需具备取证与事件响应基础并拥有合法测试授权；需 Python 3.8+ 及依赖。收费、价格、具体效果及更多平台细节暂未提供。