| 陷阱 | TTL 随查询递减，不等于写入时间 |
|---|---|
| 可靠来源 | Sysmon 22、DNS 服务器查询日志、防火墙日志 |
查看缓存但别当时间证据
查看缓存但别当时间证据
ipconfig /displaydns | Select-String 'Record Name|Time To Live' -Context 0,2若只有缓存快照，可以用 TTL 初值减去剩余值估算存活时长，但需知道记录初始 TTL 才能成立。
DNS 缓存 TTL 不是解析时间
客户端 DNS 缓存里的 TTL 剩余值不能反推解析发生的时刻，判断解析时间要用 Sysmon 22 事件或 DNS 服务器端日志。
易错点
- 不同记录类型的初始 TTL 不同，估算要注明假设
- 清空缓存会重置全部记录
数据来源与参考
- Microsoft Learn（ipconfig、Sysmon 事件 22）
- SANS DNS 取证资料