| 前提 | 找到两条记录同一事件的日志 |
|---|---|
| 输出 | 差值 = 主机时间 - 参考时间 |
取样对比
取样对比
grep '203.0.113.10' /var/log/firewall.log | head -3
grep '203.0.113.10' /var/log/auth.log | head -3多组样本差值一致才能当作常量偏移使用。
用日志推断主机时钟偏移
同一动作在两个来源同时留痕（如防火墙与主机日志都记录同一连接）时，用两组时间的恒定差值估算主机偏移。
易错点
- 参考源本身也可能不准，找两个独立参考交叉
- 网络延迟量级小但存在，报告可注明忽略依据
数据来源与参考
- SANS 时间线方法资料
- NIST SP 800-86（时间校正）