期間の指定

mactime では-y オプションを指定することで、指定日付以降のタイムラインを出力する機能があるみたいですが、これは微妙なケースもありえますね。例えば仕込まれた悪意のあるツール（rootkitとか）が持つ Mtime が古い値だったりすると、指定した期間内のタイムラインには含まれてこないので、見落としが発生する危険性も出てきます。
FAT/NFTS のようにファイルシステム上での作成日時が存在するようなケースでは、作成日時がタイムライン上でひっかかる可能性がなきにしもあらずですが。
ファイルシステムにおけるタイムスタンプの種別については、以下の URL で MAC Meaning by File System で解説されています。ファイルシステムにおけるタイムスタンプ分解能の違いについてはいずれ日本語の説明がどこかでなされるのではないかという期待をしています。

Mactime output
http://wiki.sleuthkit.org/index.php?title=Mactime_output

使い勝手的にどうかというお話もありますが、Zeitline: a forensic timeline editor は body ファイルの読み込みに対応しているのと、フィルタが可能ですのでそっちでやるという手もあるかと思います。ちなみに、Zeitline にはサンプルのタイムラインが含まれていますので、練習問題としては丁度よいかもしれません。