必须启用组策略中的“时间更改”审核策略（事件ID 4616）才能追溯系统时间修改记录，否则日志无痕；启用后通过事件查看器筛选4616事件，可查到修改前后时间、进程、用户及偏移量。
你想确认电脑系统时间是否被手动修改过、谁在什么时间改的、改了多少秒，这些操作都会被Windows自动记入安全日志，但默认不显示在常规界面里——必须通过事件查看器筛选特定事件ID并启用审核策略才能捕获。
启用系统时间更改审核（关键前提）
Windows不会默认记录时间修改行为，必须先打开“审核对象访问”和“审核特权使用”策略，否则日志里永远查不到任何时间篡改痕迹。
按 Win + R → 输入 gpedit.msc → 回车打开组策略编辑器（家庭版不可用，需升级专业版或企业版）。
依次展开：计算机配置 → Windows 设置 → 安全设置 → 高级审核策略配置 → 系统审计策略 → 时间服务 → 启用【时间更改】策略，设为“成功”和“失败”都审核。
【未启用该策略前的所有时间修改操作，日志中一律无记录，无法追溯】
从事件查看器中定位时间修改事件
按下 Win + R → 输入 eventvwr.msc → 回车打开事件查看器。
左侧导航栏依次展开：Windows 日志 → 安全。
右侧空白处点击“筛选当前日志”，在弹出窗口的“包括/排除事件ID”栏中输入：4616 → 点击确定。
事件ID 4616 是唯一标识“系统时间已被更改”的安全事件，每条记录包含修改前/后的时间戳、触发进程名（如 svchost.exe、cmd.exe）、操作用户SID及登录会话ID。
快速识别时间偏移量（不用逐条算）
双击任意一条ID 4616事件 → 切换到“详细信息”选项卡 → 展开“事件数据”节点。
查找字段 PreviousTime 和 NewTime，两个值都是W32TIME格式的18位数字（如133798524000000000），需转为可读时间：复制该数值 → 打开PowerShell → 粘贴执行：(Get-Date 0).AddTicks(133798524000000000)。
两行结果相减，就是本次时间被调快或调慢的具体秒数。例如前者是2026/11/04 08:22:15，后者是2026/11/04 10:22:15，则说明人为+2小时。
排查非管理员用户改时间的可能路径
方法一：检查是否有程序以高权限运行并调用 SetSystemTime API
在事件ID 4616详情中查看“进程ID”字段，记下十六进制值（如 0x1a2c）→ 打开任务管理器 → “详细信息”选项卡 → 添加“PID”列 → 搜索该值对应进程名。
方法二：核查计划任务或脚本是否含 time /t 或 w32tm /resync 命令
事件查看器 → Windows 日志 → 应用程序 → 筛选事件ID 100（TaskScheduler日志）→ 查看最近触发时间与4616是否重合。
方法三：确认是否由域策略强制同步引发（非篡改）
若电脑加入AD域，且事件中“进程名”为 W32Time，“账户名”为 NT AUTHORITY\SYSTEM，则属于正常域时间校准，无需干预。
