用途：该技能用于数字取证与事件响应（DFIR）中的时间线重建，重点不是找到单个工件，而是把大量工件整合成一条可复现的事件年表。它仅作为 $ctf-sandbox-orchestrator 的下游专用技能使用，需在后者已激活并确定沙箱假设、节点归属与证据优先级之后再启用；否则应先回到 $ctf-sandbox-orchestrator。除用户明确要求英文外，回复使用简体中文。
主要能力：建立时间线锚点，收集 EVTX、Sysmon、注册表、Amcache、Prefetch、浏览器工件、邮件痕迹、PCAP、内存或文件系统元数据等活跃面；记录时钟源、时区及可能重排事件的漂移或截断；通过 PID、登录 ID、GUID、消息 ID、主机名、用户名、IP 或哈希等共享标识跨源关联。构建执行图，跟踪进程树、服务或任务创建、网络会话、文件写入、注册表变更、邮箱规则或令牌使用，并依据标识与邻接关系区分因果边与巧合。将时间线压缩为证明初始访问、持久化、横向移动、收集或工件恢复的最小序列，并单独标注缺失的验证步骤。
使用方式：先选取最小可靠锚点，如首次执行、首次登录、首个网络会话、首次文件写入或首个邮箱操作；在关联前规范化时间戳、时区、主机名、用户、进程 ID、消息 ID 与文件路径；构建从立足点到持久化、执行、访问或外传的最小链条；区分已确认事件顺序与推断出的缺口；复现能得出工件或权限结论的关键时间线段。可加载 references/forensic-timeline.md 获取锚点选择、跨源关联与证据打包细节。
适用场景：CTF 沙箱中的 DFIR 年表重建、跨工件关联、持久化链分析与事件响应。若难点是数据包重组、协议分帧或从捕获中提取传输对象，应改用 $competition-pcap-protocol；若任务主要涉及恶意软件配置提取或 Windows 转向边缘，应切换到更专门的技能。
限制：必须作为下游技能使用，不能独立替代编排器；需保留源文件路径、事件 ID、登录 ID、消息 ID、PID、哈希及带时区的时间戳，并保持原始工件、解析输出与推断边相互分离。其他收费、平台或效果信息暂未提供。