时间校验为什么要先做
日志时间线对不上的源头常常是时钟漂移。排查开始时应先记录主机时间与同步状态，跨主机比对前统一时区口径；取证阶段只记录不改动，等恢复阶段再统一校时，并把校时动作与幅度记录下来。
基本信息
| Linux 命令 | timedatectl、timedatectl timesync-status、chronyc tracking、hwclock -r |
|---|---|
| Windows 命令 | w32tm /query /status、w32tm /query /source、Get-TimeZone |
| 记录内容 | 当前时间、时区、上次同步源与偏差 |
| 影响 | 偏差超过一分钟，登录日志与 Web 日志就对不上 |
| 阶段划分 | 取证期只记录，恢复期才校时 |
| 跨主机要求 | 比对前统一到同一时间基准 |
典型使用场景
- 排查开始前固定时间基准
- 跨主机比对日志前统一口径
- 分析登录时间与文件修改时间之间的矛盾
- 排查证书校验失败或集群认证异常
- 恢复阶段校时并记录调整幅度
- 复盘时说明时间线的数据来源
- 加固巡检：确认时间同步配置正常
Linux 记录时钟状态
Linux 记录时钟状态
timedatectl status # 当前时间、时区与同步状态
timedatectl timesync-status 2>/dev/null # 同步源与偏差
chronyc tracking 2>/dev/null # chrony 的偏移与源信息
hwclock -r 2>/dev/null # 硬件时钟（注意其基准时区）
date -u; date # 同时记录 UTC 与本地时间Windows 查看时间同步
Windows 查看时间同步
w32tm /query /status # 时间服务状态与当前偏差
w32tm /query /source # 当前时间源
Get-TimeZone # 当前时区设置字段读法
| 字段 | 含义 | 异常表现 |
|---|---|---|
| Local time | 本机当前时间 | 与真实时间偏差即存在漂移 |
| Time zone | 时区设置 | 与日志口径不符会造成整小时错位 |
| System clock synchronized | 是否已与时间源同步 | no 表示未同步 |
| NTP service | 时间服务状态 | inactive 表示没有校时 |
| Last offset | 与时间源的偏差 | 偏差明显说明漂移严重 |
取证阶段只记录不改动：一边改时间一边取证，时间戳证据链会直接作废，事后无法说明哪些时间是真的。
跨时区日志按本机时间比对，会把北京时间的上午活动看成深夜活动：比对前先统一换算到同一时区口径。