Unir las fuentes en una línea de tiempo

UTC es la hora de referencia y no cambia con la zona. La hora local de Yaguará es UTC-5 todo el año: para pasar de UTC a local se resta cinco horas. Cuando la resta cruza la medianoche, cambia también la fecha.

Es el error más barato de cometer y el más caro de arrastrar: una fila con la zona equivocada mueve un hecho cinco horas y cambia el orden de la historia. En la línea se escribe siempre la hora local, y la fuente conserva la suya.

Un reloj que se adelanta o atrasa no se detecta mirando el archivo solo: se detecta con un mismo hecho en dos fuentes. Si el EDR (con reloj sincronizado) y el servidor anotan el mismo renombrado con horas distintas, la diferencia es el desfase del reloj del servidor, y se aplica a todos sus eventos.

Compara los hechos que aparecen en edr-utc.txt y en el archivo de un servidor con su propio reloj, tras pasar el EDR a hora local.

La permanencia entre el primer acceso y el primer cifrado se llama a veces tiempo de permanencia. No dice cuán bueno fue el atacante: dice cuánto tiempo hubo para detectarlo. Es la cifra del informe que más ayuda a decidir dónde invertir.

Se mide en una sola zona. Aquí, en hora local: desde el acceso a la VPN hasta el primer archivo renombrado de la línea, en horas completas.

Un evento con un reloj sabido desfasado no se descarta ni se deja con su hora cruda: se corrige y se anota la corrección, con su magnitud y la referencia que la justifica. Quien lea la línea después debe poder deshacer la corrección.

Descartar la fuente pierde un testigo; usarla sin corregir lo hace mentir. Ninguna de las dos cosas es honesta.