Leer la cronología

Cada fuente escribe en su zona horaria. Los registros de la plataforma de identidad y de la auditoría de correo guardan en UTC; otras herramientas de la empresa muestran la hora local de Bogotá, que va cinco horas por detrás de UTC todo el año. Si se ordenan las filas por el texto de la hora, sin convertir, el aviso de la mesa de ayuda parece anterior a casi todo lo demás, y la historia sale al revés.

Abre eventos y zonas_de_las_fuentes. Una cuenta de finanzas tiene un inicio de sesión de rutina a primera hora y otro más tarde, desde un país y una dirección distintos. El primer paso de la cadena es el inicio que rompe con la rutina de la cuenta, no el primer evento de la tabla ni el aviso que llegó después.

La salida de correo a proveedores con un cambio de cuenta de pago la registra la pasarela, en hora de Bogotá. Convierte esa hora a UTC y mide cuántos minutos pasaron desde el evento de la tarea anterior hasta esa salida. Una cifra en minutos dice qué ventana tuvo quien actuó y cuánto margen tuvo la detección.

Con la cronología unida se ve una secuencia: un inicio de sesión desde otro país, una aplicación autorizada, un método de seguridad añadido, una regla de bandeja y un correo masivo. La secuencia prueba el orden y la cercanía en el tiempo. No prueba por sí sola quién hizo cada paso ni que un paso causara el siguiente.