在 计算机取证 中继续浏览相关技术、方法与案例。
围绕“日志分析”继续查找可练习的题目与可用检材。
当前节点及其下级节点已经公开的知识内容。
Windows 侧做时间线有个便利：事件日志带年份、带时区、精度到毫秒，还集中在少数几个文件里。导出即完整时间线。
Linux 日志分析真正的困难只有一个：你要找的那份日志，可能不叫那个名字，也可能不在那个目录，甚至可能已经不是文本了。
