溯源思路与流程68 条

时区元数据采集清单

在分析开始前把目标主机的时区配置与同步状态记录下来，这份元数据决定了全部时间戳的换算方向。

Linux	/etc/localtime 链接、/etc/timezone、timedatectl
Windows	tzutil、TimeZoneInformation 注册表键、w32tm /tz

两侧采集

readlink -f /etc/localtime; cat /etc/timezone 2>/dev/null
# Windows（PowerShell）
# Get-TimeZone; tzutil /g

同时记录 NTP 与时间服务状态：时间同步异常的主机需要额外的偏移评估。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌