用途：Plaso（log2timeline）是开源取证引擎，用于把磁盘镜像、挂载点、目录或设备中的数百种痕迹（文件系统 MACB 时间、注册表、EVTX、浏览器历史、prefetch、LNK、$UsnJrnl、syslog 等）融合为单一按时间归一化的超级时间线，适用于事件响应中重建主机事件序列、关联多来源活动、发现时间戳篡改或日志清除等反取证行为。
主要能力：log2timeline.py 从来源提取事件写入 .plaso 存储文件，可用 --parsers 限定解析器（如 win7、webhist 或显式名称）；pinfo.py 报告存储文件的来源、解析器、事件数与警告；psort.py 对存储文件做过滤、去重、时区归一化并导出 CSV、json_line、Elasticsearch、Timesketch 等格式；psteal.py 一步完成提取与导出。
使用方式：安装可用 Docker（docker pull log2timeline/plaso，运行时挂载证据与输出目录），或在 Ubuntu 通过 GIFT PPA 安装 plaso-tools。典型流程为 log2timeline.py --storage-file timeline.plaso <来源> 提取，pinfo.py timeline.plaso 检查，psort.py --output-time-zone 'UTC' -o l2tcsv -w supertimeline.csv timeline.plaso "<过滤表达式>" 导出，再用 timesketch_importer 导入 Timesketch 进行筛选、标记、保存搜索与运行分析器。
限制：仅可分析获授权的证据，须使用取证镜像/副本并保持证据链；时间线数据量巨大，通常需在 Timesketch 中分诊；具体解析器覆盖范围与输出字段以官方文档为准，资料未提供性能与兼容性细节。