Jevline（安全事件时间线关联）

面向分析师确认一个恶意进程之后的下一个问题：还有哪些属于这次事件？对其余每个进程启动事件（按时间顺序），Jev 会拿到种子进程、候选进程、最多六个最近已关联的执行记录，以及同一主机上最多八个邻近事件，返回一个关联概率和一个证据类别。

它做什么： 概率达到 0.8 及以上的候选会被关联，并成为后续判断的上下文；如果第一轮找到新的关联，其余候选会再判断一次。支持 ECS / Elasticsearch JSON（门户最多 500 个事件）；可以作为网站使用，也可以在本地运行只依赖 Python 标准库的门户和命令行。

为什么收进案例库： 面向安全遥测的清晰日志分诊形态：已关联的证据不断累积为上下文，进入时间线之前先过置信度门槛。

注意： 不做准确率声明；阈值是实验性的；必须由分析师复核。