用途：Timeline Forensics 用于数字取证中的时间线重建与分析，把来自多个数据源的事件整合成统一时间线并加以分析。
主要能力：创建超级时间线（Super Timeline）；多源事件关联（如磁盘、内存、网络、日志）；按时间、来源或关键词过滤时间线；异常检测；交互式时间线可视化；证据时间缺口分析；枢轴点（pivot point）分析；导出为 CSV、JSON、bodyfile 等格式；时间线对比与活动聚类。
必要用法：通过 Python 导入使用，主要类包括 TimelineBuilder、SuperTimeline、TimelineAnalyzer、FileSystemTimeline、RegistryTimeline、EventLogTimeline、NetworkTimeline、TimelineCorrelator、TimelineFilter、TimelineVisualizer、GapAnalyzer。典型流程为：用 builder.add_disk_image、builder.add_memory_dump、builder.add_logs、builder.add_pcap 等添加证据源，调用 builder.build() 生成时间线，再用 analyzer.detect_anomalies() 等进行分析，最后 timeline.export_csv / export_json / export_bodyfile 导出。
适用场景：文件系统（MFT、注册表、Prefetch、EVTX、浏览器）、注册表、Windows 事件日志（如 4624/4625/4688/4689）、网络流量（PCAP、NetFlow）等取证分析。
限制与配置：可选环境变量包括 PLASO_PATH、TIMELINE_TZ（默认 UTC）、MAX_EVENTS（默认 10000000）、CACHE_DIR（默认 ./cache）。资料中未提供具体安装命令、依赖版本与收费信息。