| 信号 | 序号跳跃、时间倒退、文件长度异常 |
|---|---|
| 处置 | 先保全原始文件与哈希，再做解析 |
检查时间单调性
检查时间单调性
awk '{print $1" "$2, $3}' audit.log | sort -c 2>&1 | head -3
# 序号断档样例
grep -oE 'seq=[0-9]+' app.log | tail -20断档也可能来自轮转与归档合并，先排除运维动作再定性。
日志序号断档与篡改迹象
部分日志带递增序号或链式校验（数据库审计、应用日志），断档与时间倒退是评估日志完整性问题的一手信号。
易错点
- 直接编辑原始日志会破坏证据性，先复制副本
- 合并多个轮转文件时序号断档是正常现象
数据来源与参考
- NIST SP 800-92（日志管理）
- SANS 日志完整性资料