时间基准统一做什么
不同数据源记录时间的方式各不相同：Linux 与网络设备的系统日志多写本地时间且不带时区偏移，Windows 事件日志内部按 UTC 保存但界面显示本地时间，Web 与代理日志常带明确的时区偏移，应用日志可能记录 Unix 时间戳。分析前必须确定一个统一基准（建议 UTC）与统一显示格式（建议 ISO 8601），并保证报告里的每个时间点都能映射回原始日志的原始写法。
基本信息
| 适用平台 | 所有涉及多源时间线的分析与报告 |
|---|---|
| 基准建议 | 统一使用 UTC，避免夏令时带来的歧义 |
| 显示格式 | YYYY-MM-DDTHH:MM:SSZ（秒级精度，必要时带毫秒） |
| 必备记录 | 数据源原始时区、转换偏移量、转换依据 |
| 协作要求 | 时区约定写进项目说明开头，全员共用一套口径 |
典型使用场景
- 把 Windows 主机日志与 Linux 服务器日志放在同一张时间线上比对顺序
- 核对跨境业务系统日志：各节点时区不同，未统一会得出错误的因果顺序
- 与第三方（云服务商、运营商）提供的时间戳对齐，确认请求与响应顺序
- 出具报告前统一全部时间点，保证复核者能按同样规则重算
- 交接时避免口头传递“我们这边差八小时”这类口述信息导致的误差
记录与转换约定
记录与转换约定
# 时间口径声明（写在项目说明与报告开头）
基准：UTC；显示：YYYY-MM-DDTHH:MM:SSZ
# 单条转换记录模板
原始: 2026-10-12 11:20:31 +08:00
报告: 2026-10-12 03:20:31 UTC
转换: -8h（源为东八区）
# 注意：无时区标注的源（多数 Linux syslog）按部署地时区解释，并在报告中写明该假设
Lighthouse 服务器 syslog: 本地时间 CST(+08:00)，已统一为 UTC常见时间来源对照
| 数据源 | 记录方式 | 统一时的注意点 |
|---|---|---|
| Linux syslog | 本地时间，通常不带偏移 | 需先确认部署地时区与是否启用 UTC 记录 |
| Windows 事件日志 | 内部为 UTC，界面显示本地时间 | 导出与展示工具不同，结论要以导出值为准 |
| Web / 代理访问日志 | 常带 +0800 类偏移或使用 Unix 时间戳 | 按实际偏移换算，注意日志格式配置 |
| 网络设备日志 | 多为本地时间，部分支持 UTC 配置 | 设备时区配置需确认，注意夏令时 |
| 数据库审计日志 | 随数据库会话时区 | 跨时区访问会混入多种偏移 |
统一基准不只是给报告看的，分析过程中就要统一：中间产物（合并 CSV、时间线库）同样使用 UTC，否则后续每个复核者都要再做一次转换。
原生日志中的时间一律保留，不要只留转换后的值。去掉原始时间后，一旦发现换算假设有误，全部结论都无法回退核对。