Escenario: una línea de tiempo con un hueco de dos horas

Al consolidar la supertimeline de un servidor financiero, el analista observa actividad continua hasta las 01:00:15 UTC (cuando el USN Journal registra la creación de un archivo de borrado y el cese de eventos en el log de Seguridad), seguida por un silencio absoluto de dos horas hasta las 03:00:00 UTC, cuando se reanuda la ejecución con PowerShell. Lejos de ser un fallo de hardware, el hueco temporal revela manipulación deliberada del servicio de registro de eventos por parte del intruso.

Verifica en la tabla timeline_gap la marca temporal en que se produce el registro sospechoso previo al hueco.

Lección tras el caso {#leccion}

Los atacantes experimentados pueden limpiar registros de eventos de Windows (Event ID 1102), pero casi nunca logran erradicar la multitud de artefactos forenses secundarios e interconectados que el propio núcleo del sistema operativo graba en el disco: Prefetch documenta qué se ejecutó y cuántas veces; Amcache retiene el hash de binarios borrados; el diario USN Journal preserva el testimonio de archivos creados y eliminados; y los archivos LNK prueban la interacción del usuario. Cuando estos artefactos se consolidan en una supertimeline, incluso los huecos deliberados de silencio se transforman en evidencia incriminatoria de técnicas de evasión.