在线告警在12:00判定最近一分钟的事件，有些日志在12:03才到达。离线复盘与在线判分应区分什么？ {{ select(1) }}

• 文件修改时间代替事件时间
• 事件发生时间、到达时间及当时可得信息
• 以最终全集重算并当作在线当时结果
• 事件发生较早就算当时已收到

满分 2 分。数据安全技术人员 · 日志审计与事件处置 · 进阶。题族 SEC-F048，同题族不要出现在同一张卷。状态：内部待专家复核。组卷：待审通过后可用。