Leer la cronología

Cada fuente escribe la hora con su propio reloj: la pasarela de la VPN y el cortafuegos de borde guardan en UTC; el dominio, el agente de seguridad y la auditoría de archivos, en hora local, que es UTC-05. Si se ordenan las filas por el texto de la hora sin convertir, un evento que ocurrió antes puede quedar después de otro. Antes de decir qué pasó primero se lleva todo a una sola zona.

Abre cronologia y convierte cada hora a UTC-05: a una hora en UTC se le restan cinco horas. La fila que parece primera por su texto no tiene por qué serlo. Lo que se pide es el identificador del evento más temprano ya con todas las horas en la misma zona.

Los días entre el primer evento anómalo y el cifrado son el margen que tuvo el equipo para actuar. Se cuentan días completos, es decir, cuántas veces cabe un periodo de 24 horas entre las dos horas, con ambas en la misma zona. Con las horas sin convertir, la cuenta sale distinta.

Una cronología con un salto de días no prueba que no pasara nada: puede significar que la fuente no guardó nada en esa ventana. Abre fuentes y busca la columna ventana_sin_registros. Una fuente así deja un hueco que hay que declarar en cualquier informe y que limita lo que se puede afirmar sobre esos días.

El inicio de sesión de la VPN es el primer evento anómalo que quedó registrado en las fuentes de la tabla. La VPN conserva 14 días y el agente de seguridad tiene un hueco. Un informe honesto separa lo que los registros muestran de lo que se supone.