網路攻擊與防禦實務
在入侵調查中比對兩台伺服器的日誌。Web伺服器的日誌以協調世界時（UTC）記錄，時鐘已用NTP正確校準。檔案伺服器的日誌以日本時間（UTC+9小時）記錄，時鐘比正確時間快了4分鐘。Web伺服器的日誌記錄了可疑登入發生在 01:52（UTC），檔案伺服器的日誌記錄了大量讀取檔案發生在 10:58（日本時間）。檔案讀取實際上是在可疑登入的幾分鐘後發生？正確的是下列何者？
- A2分鐘後
- B6分鐘後
- C10分鐘後
查看答案與解析
正確答案：A. 2分鐘後
檔案伺服器的時鐘快了4分鐘，因此從紀錄的 10:58 減去4分鐘，正確的日本時間是 10:54。日本時間比UTC快9小時，換算成UTC是 01:54，也就是可疑登入 01:52 的2分鐘後。若不修正時鐘誤差，10:58 − 9小時 = 01:58，會變成6分鐘後；若修正的方向相反，11:02 − 9小時 = 02:02，會變成10分鐘後，誤判事件之間的間隔。為了防止這類錯誤，要以NTP同步所有設備的時鐘，在日誌中以能看出時差的形式（UTC等）記錄時間，並集中保存在不易被竄改的其他地方。
- A. 正確。修正時鐘誤差後為 10:54（日本時間），UTC為 01:54，因此是2分鐘後。
- B. 這是沒有修正時鐘快4分鐘、只修正時差的值。
- C. 這是把時鐘誤差在應該減去的地方加上了的值。