Bei der Untersuchung eines Eindringens werden die Logs zweier Server abgeglichen. Die Logs des Webservers sind in koordinierter Weltzeit (UTC) aufgezeichnet, und seine Uhr war per NTP korrekt gestellt. Die Logs des Dateiservers sind in japanischer Zeit (UTC+9 Stunden) aufgezeichnet, und seine Uhr ging gegenüber der richtigen Zeit 4 Minuten vor. Im Log des Webservers ist eine verdächtige Anmeldung um 01:52 (UTC) verzeichnet, im Log des Dateiservers das Auslesen sehr vieler Dateien um 10:58 (japanische Zeit). Wie viele Minuten nach der verdächtigen Anmeldung fand das Auslesen der Dateien tatsächlich statt?

Antwort: A. 2 Minuten danach

Die Uhr des Dateiservers ging 4 Minuten vor; zieht man 4 Minuten vom aufgezeichneten Wert 10:58 ab, ergibt sich die korrekte japanische Zeit 10:54. Die japanische Zeit liegt 9 Stunden vor UTC; in UTC umgerechnet ist das 01:54, also 2 Minuten nach der verdächtigen Anmeldung um 01:52. Ohne Korrektur der Uhrabweichung ergäbe sich 10:58 − 9 Stunden = 01:58, also 6 Minuten danach, und mit Korrektur in die falsche Richtung 11:02 − 9 Stunden = 02:02, also 10 Minuten danach; der Abstand zwischen den Ereignissen würde falsch bestimmt. Um solche Fehler zu vermeiden, werden die Uhren aller Geräte per NTP synchronisiert, Zeitangaben in Logs in einer Form aufgezeichnet, die die Zeitzone erkennen lässt (etwa UTC), und die Logs an einem separaten, manipulationsgeschützten Ort gesammelt und aufbewahrt.