Lunes 06:40 — las notas y la línea de tiempo

El correo con el adjunto llegó a tres buzones, pero que un correo se entregue no es lo mismo que alguien lo abra. El EDR sí ve procesos: lo que se ejecutó, bajo qué cuenta y en qué equipo. Cruza la pasarela de correo con el EDR para saber en la sesión de quién ocurrió lo primero fuera de lo normal.

Una de las fuentes de Zuleta lleva su propia hora y no coincide con el EDR, que tiene el reloj sincronizado. Un evento de ese servidor es clave para saber cuándo se usó la cuenta de administración. Antes de calcular nada, decide cómo se trata un reloj desfasado en una línea de tiempo: la hora que se publica tiene que poder defenderse ante quien la revise.

Un mismo inicio de sesión de la cuenta de administración aparece en el EDR (en UTC) y en el registro del servidor (hora local según su propio reloj), con la misma referencia. Esa referencia permite medir el desfase y corregir. Zuleta usa UTC-5 sin horario de verano. La línea de tiempo va en hora local.

La dirección quiere saber cuánto tiempo hubo entre la entrega del correo y el primer archivo renombrado, para decidir si el problema fue de detección o de respuesta. Hay un servidor con el reloj desfasado: la hora del primer renombrado que sirve es la del EDR, no la que anota el propio servidor.

Con lo que hay, la línea de tiempo tiene filas de registro (lo que una fuente dice) y filas de inferencia (lo que se concluye de varias). El acceso inicial es la fila que más se discute. Fíjate en qué demuestran de verdad el correo y el EDR, y en qué no.