| 第一步问题 | 最近改了什么？（配置 / 发布 / 证书 / 割接 / 第三方） |
|---|---|
| 证据来源 | 变更单、Git 提交、审计日志、监控告警时间线 |
| 时间对齐 | 把故障开始时间与变更时间放在同一条时间线上 |
快速排查最近改动（Linux 通用）
快速排查最近改动（Linux 通用）
find /etc -mmin -1440 -type f 2>/dev/null | head -30 # 24h 内被改过的配置
systemctl list-units --since "24 hours ago" --state=failed # 最近失败的服务
git -C /path/to/config log --since="24 hours ago" --oneline # 若配置纳管在 Git发现可疑变更后，优先走「回滚验证」而非现场猜测：回滚后故障消失基本可确认因果，但回滚前要留好现场证据。