建立时间线
本课属于 Coddy Cybersecurity 学习旅程的“调查安全漏洞”单元。第 11 课，共 20 课。
时间线可以帮助你说明事件是如何发生的。按时间顺序阅读事件，并区分清理前发生的事情和清理后发生的事情。
练习用计算机的日志显示，某个程序在文件传输前启动了：
seclab logs查找以下几行：
2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv进程记录将 demo-helper 与其父进程 demo-browser 关联起来。这些记录共同支持一个简短的说明：浏览器启动了辅助程序，随后辅助程序的连接传输了一个文件。
不要把猜测当成结论。如果记录只显示了连接，你就不能断言数据已经传出。为此示例记录启动进程：
seclab answer first demo-browser你应该会看到：
Recorded your answer to first.之前的证据会作为一个已保存文件带入后续工单，文件名为 evidence，后面跟着计算机名称。这样，清理后仍能保留原始记录。
挑战
简单来自 IT 负责人 Sam 的工单
整理烘焙厂事件时间线的开头。使用已保存的证据和日志，找出启动了不需要的辅助程序的父进程。将该父进程记录为 first。调查期间，确保已清理的辅助程序保持停止状态，并让已批准的备份正常运行。
亲手试试
终端
自我测试这节课包含一个小测验。开始学习即可作答，并记录你的进度。