Línea de tiempo para el informe

Una línea de tiempo es útil cuando cada fila se puede ordenar y comprobar. Para ordenar, todas las horas van en la misma zona; para comprobar, cada fila lleva la fuente de donde sale. Mezclar horas en UTC con horas locales no produce un error visible: produce una historia en el orden equivocado.

La regla práctica es elegir una zona para el informe (la local, la que entienden quienes lo leen), anotarlo en el encabezado y convertir cada fuente antes de copiar su hora. Y, cuando se pueda, conservar al lado la hora original: así quien revise puede repetir la conversión.

El registro del VPN, el del controlador de dominio y el de la consola EDR están en hora universal (UTC); el cortafuegos, la consola de respaldos y los archivos usan la hora local de Colombia. Colombia está en UTC-5 y no cambia de hora durante el año, de modo que para pasar de UTC a local siempre se restan cinco horas, y si el resultado pasa de la medianoche, cambia el día.

Consulta SELECT * FROM fuentes_crudas WHERE zona = 'UTC' y convierte la primera fila a hora local.

El tiempo que pasa entre la primera actividad del atacante y el cifrado se llama a menudo tiempo de permanencia. Cuenta lo que el atacante estuvo dentro sin que se lo detectara y, por tanto, el margen que tuvo el SOC. Se mide con horas ya normalizadas, nunca con las crudas, y se da entera con su unidad.

Mide las horas completas entre la primera hora local de la tarea anterior y la hora en que se cifró el primer archivo del servidor de archivos (fila F06, que ya está en hora local).

Un buen borrador distingue hecho de inferencia. Un hecho tiene una fuente y una hora; una inferencia es una explicación probable que se declara como tal. El problema aparece cuando una inferencia se escribe como hecho, porque nadie vuelve a comprobarla y acaba citándose como si estuviera probada.

Ejecuta SELECT * FROM borrador WHERE fuente = '-'.

La misma línea de tiempo se resume de otra manera para la gerencia. No necesita las horas de cada evento sino tres cosas: cuánto duró, qué se afectó y qué se decide ahora. Una frase buena es verificable contra la tabla y no usa términos que el lector tenga que traducir.