用途：在安全事件取证中，从可用日志源重建事件时间线，用于入侵后调查、跨系统事件关联，以及形成需要详细事件时序的取证报告。
主要能力：收集并保全 Windows 事件日志（Security、System、Application、PowerShell、Sysmon、任务计划、RDP 等）、Linux 日志（auth.log、syslog、kern.log、secure、audit.log）与 Web 访问日志；对日志做哈希以校验完整性；解析 EVTX、syslog、JSON、CSV 等格式；按时间、IP、用户或会话关联多源事件；生成结构化时间线与取证报告。
使用方式：先建立案件日志目录并复制日志、用 sha256sum 生成哈希；再用 python-evtx、evtxexport、ausearch、grep/awk、jq 或 ELK 等工具解析；关注 Windows 关键事件 ID（4624、4625、4648、4672、4688、4697、4698/4702、4720、4732、1102）；随后归一化时间戳并合并为关联时间线，最后输出报告并打包分析产物。
适用场景：暴力破解检测、内部威胁调查、Web 应用入侵、勒索软件事件时间线等。
限制：需要可访问的日志文件、解析工具、对日志格式的理解、各日志源 NTP 同步时间戳、足够存储，以及 log2timeline/Plaso 等时间线工具；日志轮转与反取证（如清除日志）会影响证据可用性。具体收费、平台与效果资料暂未提供。