침입 조사에서 서버 2대의 로그를 대조한다. 웹 서버의 로그는 협정 세계시(UTC)로 기록되었고, 시계는 NTP로 정확하게 맞춰져 있었다. 파일 서버의 로그는 일본 시간(UTC+9시간)으로 기록되었고, 시계는 정확한 시각보다 4분 빨랐다. 웹 서버의 로그에는 수상한 로그인이 01:52(UTC), 파일 서버의 로그에는 대량의 파일 읽기가 10:58(일본 시간)로 기록되어 있었다. 파일 읽기가 실제로 일어난 것은 수상한 로그인의 몇 분 후인가?

정답: A. 2분 후

파일 서버의 시계는 4분 빨랐으므로, 기록된 10:58에서 4분을 빼면 정확한 일본 시간은 10:54입니다. 일본 시간은 UTC보다 9시간 빠르므로 UTC로 고치면 01:54가 되며, 수상한 로그인 01:52의 2분 후입니다. 시계의 차이를 보정하지 않으면 10:58 − 9시간 = 01:58로 6분 후, 차이를 보정하는 방향을 반대로 하면 11:02 − 9시간 = 02:02로 10분 후가 되어 사건 사이의 간격을 잘못 판단합니다. 이러한 오류를 막기 위해 모든 기기의 시계를 NTP로 맞추고, 로그에는 시차를 알 수 있는 형태(UTC 등)로 시각을 기록하며, 변조되기 어려운 별도의 장소에 모아 보관해 둡니다.