- 第 1 步：确认两侧时区与时钟偏移是否已修正
- 第 2 步：确认时间戳语义（写入、元数据变更还是审计记录）
- 第 3 步：找同刻其他来源交叉验证
- 第 4 步：仍冲突则在报告中如实标注两种读数
交叉抽样
交叉抽样
grep -n '2026-01-02 03:22:10' /var/log/auth.log
istat -o 2048 -z UTC /evidence/disk.dd 12845 | grep -iE 'modified|accessed'冲突不等于造假：虚拟化、快照、延迟写入都可能造成看似矛盾的组合。