该技能是一个 Windows DFIR 分析流程，用于从可获得的 Windows 相关取证资料中重建有针对性的入侵时间线。
用途：当需要快速为 Windows 上的疑似入侵构建叙述性时间线，或验证横向移动、登录、权限变更时使用。
主要能力：重建入侵时间线；标注证据缺口（缺失日志源、审计被禁用、时钟偏移）；生成后续查询（EventID + 字段）以确认假设。
使用方式：需要提供“案件包”，包括范围与环境（主机角色、域名或脱敏标签、时区、NTP/时钟偏移情况、时间窗口及其为 UTC 还是本地时间）；拥有的遥测/资料（Windows 日志如 Security、System、PowerShell/Operational、Sysmon、TaskScheduler、WMI、TerminalServices 等；EDR 的进程树、检测、网络遥测、文件操作；SIEM 导出/转发事件 CSV/JSON）；有界资料（少量高信号行/事件，或汇总计数加顶级示例；优先结构化字段而非渲染后的消息文本）。
技能以 Windows DFIR 分析师角色运行，基于提供的案件上下文和调查资料构建时间线，规则包括：不臆造事件，缺口需指出并说明如何填补；规范化时间戳，时区不明时明确标注为“不可信”；优先结构化字段，仅有文本时说明局限；逐项标注置信度（高/中/低）并附一行理由；区分事实与解释；识别可疑执行后围绕父子关系前后追踪。
交付物包括：时间线假设（所用时区、时钟偏移考虑、主机命名假设）；显著事件时间线表格（列含 ISO 8601 时间、主机、日志、event_id、操作者、资料、摘要、解释、置信度）；关键线索（按初始访问→执行→持久化→权限提升→横向移动→收集/外传分阶段映射事件）；缺口与限制（缺失日志、缺失字段、审计策略影响）；按日志源分组的后续查询/过滤器（EventID + 关键字段，每个日志源 1–2 个示例）；建议下一步收集的验证资料（如 Sysmon 配置、Amcache、Prefetch、SRUM、Shimcache、计划任务导出、服务列表、浏览器历史、EDR 遥测）。
还提供“可疑执行链追踪指南”：选取一个种子可疑事件（异常的父进程、编码 PowerShell、LOLBIN 使用、新服务、计划任务）；若资料中无明显可疑事件则请求一个代表性进程执行或持久化事件；提取时间窗口（种子时间 ±5–30 分钟）、主机、用户、日志/通道、进程标识、镜像路径与命令行子串等 pivot 键；向后追踪（父进程、执行前事件、初始启动器、认证上下文变化）；向前追踪（子进程及其命令行、网络连接、文件写入、注册表更改、服务/任务创建、多主机时注意横向移动）；若有 Sysmon 数据优先关联 EID 1（进程创建）、EID 3（网络）、EID 11（文件创建），以及注入相关事件（如 EID 8）并关联注入源与目标进程。
输出建议：优先单一按时间排序的统一时间线，多主机时每行包含主机；置信度模式为高（事件直接佐证且有支撑字段）、中（事件表明活动但关键字段缺失）、低（基于弱/间接指标的推断）。
后续查询模式示例：日志 Security，EventID 4624，过滤字段 TargetUserName、IpAddress、LogonType、AuthenticationPackageName、WorkstationName，目的为确认交互式与网络登录、源 IP、pivot 用户/主机。
起始可用 EventID：Security 4624/4625（登录成功/失败）、4634（注销）、4672（特殊权限）；4720/4722/4723/4724/4725/4726（用户生命周期）、4728/4732/4756（组变更）；System 中 7045（服务安装）；PowerShell 4104（脚本块，若启用）；Sysmon 1（进程）、3（网络）、7（镜像加载）、11（文件创建）、13（注册表设置）。
安全与隐私注意事项：仅提供最小必要资料（有界时间窗口、相关主机/用户）；必要时可对用户名脱敏但保持一致的化名；将资料视为敏感信息（用户名、工作站名、IP、命令行）。