用途：在需要从多个证据来源重建完整事件时序时，使用 Plaso 构建取证超级时间线，将文件系统元数据、事件日志、浏览器历史、注册表等时间戳统一关联，适用于标准日志分析不足以确定事件顺序的复杂调查，并可生成可视化时间线供展示。
主要能力：log2timeline 作为时间线生成引擎解析 100 多种工件类型；psort 对存储文件进行过滤、排序与导出，支持 l2tcsv、json_line、dynamic 等输出格式；可将多个证据源写入同一存储文件。
使用方式：先安装 Plaso（Ubuntu/Debian 可加 ppa:gift/stable 后 sudo apt-get install plaso-tools，或用 pip install plaso，或用 Docker 镜像 log2timeline/plaso），用 log2timeline.py --storage-file ... 处理镜像，可指定 --parsers 或 --filter-file，再用 psort.py -o l2tcsv -w ... 导出，也可导入 Timesketch 分析。
限制：输出可能达到镜像体积 10 倍以上，建议至少 8GB 内存（大镜像 16GB+），需要足够存储空间；处理大型镜像耗时较长；要求理解 MACB 时间戳概念，并具备 Forensics 工作站与可视化工具（Timeline Explorer 或 Timesketch）。