时间不同步会吃掉一切证据
日志、审计、告警、监控全都以时间戳为索引：主机时钟错几小时，跨系统的关联分析就完全失效，安全事件时间线也无法成立。时间同步因此是审计类整改的前置条件，也是被检查方最容易忽略的基础项。
基本信息
| 适用平台 | Linux（chrony、systemd-timesyncd、ntpd） |
|---|---|
| 核查入口 | timedatectl 的 System clock synchronized 字段 |
| 时钟源 | 企业内部 NTP 服务器或公有云内网 NTP 地址 |
| 基线 | 已同步且有可达的时钟源 |
典型使用场景
- 安全事件调查：确认各主机时间基线一致，否则无法拼接攻击链
- 审计类整改：日志留存与时间准确性往往成对检查
- 新机器上架：加入统一时钟源，避免依赖默认公网地址
- 虚拟化环境运维：宿主机与虚拟机时钟漂移是常见故障源
核查命令
核查命令
# 总览：关注 System clock synchronized 与时间源
systemctl is-active chronyd systemd-timesyncd ntp 2>/dev/null
timedatectl status | head -8
# chrony 用户
chronyc sources 2>/dev/null | head -8
# 传统 ntpd 用户
ntpq -p 2>/dev/null | head -8输出逐列读法
| 字段或列 | 含义 | 异常表现 |
|---|---|---|
| System clock synchronized | 是否已同步 | 显示 no 时时间不可信，审计结论一并失效 |
| NTP service | 时钟服务状态 | inactive 表示没有任何同步机制在跑 |
| ^* 标记（chronyc） | 当前选中的同步源 | 没有带 * 的行说明未选定源 |
| offset | 与时钟源的偏差 | 偏差持续为秒级要说明原因并给实测值 |
把时间同步列为审计整改的前置条件：时间线不可信时，其他日志结论都会打折扣，先解决它再谈日志分析。
chrony 与 ntpd 只应启用一个：两者同时运行会互相拉扯，表现为时钟反复跳变，比不同步更难排查。
虚拟机时钟漂移通常比物理机更大：偏差超过秒级时要在报告里给出实测偏差值，而不是只写「存在漂移」，后者无法用于后续整改验收。
内网 NTP 服务要做冗余：单台时钟源故障不会立刻暴露，等发现时可能所有主机已偏出几分钟，跨系统日志关联全部失效。