Las fuentes y su reloj

Las fuentes no solo cuentan cosas distintas: cuentan con distinto grano. El registro de identidad dice quién se autenticó y desde dónde; el del endpoint baja hasta qué proceso lanzó a qué proceso; el del cortafuegos se queda en conexiones permitidas o bloqueadas, sin saber quién había detrás. Conocer el grano de cada fuente es saber a cuál ir según la pregunta: para «¿qué ejecutó esa máquina?» vas al endpoint, no al cortafuegos, que no lo sabe.

Elegir mal la fuente es perder el turno buscando un dato donde nunca se escribió. La primera decisión del análisis no es qué filtrar, sino en qué fuente mirar.

Delta Cargo tiene máquinas configuradas en distintas zonas horarias. Si cada registro guardara su hora local, cruzar dos eventos obligaría a convertir husos a mano en cada paso, y un error de conversión inventa o borra incidentes. Por eso el oficio fija una hora de referencia única: UTC. Un evento a las 03:10 local de una máquina en UTC-05 son las 08:10 UTC; llevado a esa referencia común, se puede poner en la misma línea de tiempo que el de otra máquina sin ambigüedad.

Trabajar en UTC no es una manía: es lo que hace que «antes» y «después» signifiquen lo mismo para todas las fuentes. La hora local se muestra para el humano; la correlación se hace sobre la referencia común.

La sincronización por NTP mantiene los relojes de todas las máquinas pegados a la hora real. Cuando una fuente se queda sin sincronizar, su reloj deriva: adelanta o atrasa unos minutos. Y entonces sus eventos parecen ocurrir antes o después de lo que ocurrieron. Un endpoint que adelanta siete minutos hace que su «08:17» sea en realidad las 08:10: si no lo corriges, lo colocas después de un evento que en verdad fue posterior, y la historia se cuenta al revés.

El analista no se fía del reloj de una fuente sin saber si está en hora. Antes de correlacionar un evento de una máquina sospechosa de derivar, comprueba su desfase y lo descuenta. Un orden de eventos construido sobre un reloj desajustado es una conclusión falsa con aspecto de prueba.

En la consola, cuatro fuentes de Delta Cargo muestran su hora local, su zona y su hora ya llevada a UTC. Tres coinciden al pasarlas a la referencia común; una no, porque su reloj no sincroniza y adelanta. Identifica esa máquina.