侵入の調査で2台のサーバのログを突き合わせる。Webサーバのログは協定世界時(UTC)で記録され、時計はNTPで正しく合わせられていた。ファイルサーバのログは日本時間(UTC+9時間)で記録され、時計は正しい時刻より4分進んでいた。Webサーバのログには不審なログインが 01:52(UTC)、ファイルサーバのログには大量のファイルの読み出しが 10:58(日本時間)と記録されていた。ファイルの読み出しが実際に起きたのは、不審なログインの何分後か。正しいものはどれか。

正解：A. 2分後

ファイルサーバの時計は4分進んでいたので、記録の 10:58 から4分を引いて、正しい日本時間は 10:54 です。日本時間はUTCより9時間進んでいるので、UTCに直すと 01:54 になり、不審なログインの 01:52 の2分後です。時計のずれを直さないと 10:58 − 9時間 = 01:58 で6分後に、ずれを直す向きを逆にすると 11:02 − 9時間 = 02:02 で10分後になり、出来事の間隔を誤ります。このような誤りを防ぐため、すべての機器の時計をNTPで合わせ、ログには時差の分かる形(UTCなど)で時刻を記録し、改ざんされにくい別の場所に集めて保管しておきます。

• A. 正しい。時計のずれを直すと 10:54(日本時間)、UTCでは 01:54 なので2分後です。
• B. 時計が4分進んでいたことを補正せずに、時差だけを直した値です。
• C. 時計のずれを、引くべきところで足してしまった値です。