| 方向 | 主机慢 → 加偏移；主机快 → 减偏移 |
|---|---|
| 记录 | 原始时间、修正量、修正后时间、依据 |
修正记录示例
修正记录示例
host: H1
measure: chronyc tracking = -3.4s (慢 3.4 秒，2026-01-02T02:00Z)
rule: corrected = raw + 3.4s
window: 2026-01-01T00:00Z ~ 2026-01-02T06:00Z（假设该区间内偏移线性）长时间跨度内偏移并非恒定，跨天分析要按多次测量的区间分段修正。
把时钟偏移换算回时间线
测得偏移后，对每个来源事件按方向与数值修正，并在时间线中同时保留原始值与修正值，修正过程要可回溯。
易错点
- 修正值不可只写在脑子里，必须落盘
- 跨 NTP 跳变点前后要用不同修正量
数据来源与参考
- NIST SP 800-86（时间修正）
- SANS DFIR 时间线资料