Sincronía de relojes

Un reloj que se desvía unos segundos no se nota en el trabajo diario y arruina una investigación: la regla que correlaciona un inicio de sesión con un acceso a un archivo pierde la coincidencia, y el informe puede afirmar que algo ocurrió antes de lo que lo causó. Por eso la línea base de un entorno incluye una fuente de tiempo compartida (NTP), servidores de tiempo propios, cercanos a una referencia confiable, y una vigilancia del desfase.

El estrato indica a cuántos saltos está el equipo del reloj de referencia: cuanto menor, más cerca. Un equipo sin fuente de tiempo, o que la perdió, se va desviando sin aviso.

Abre estado_de_tiempo. La columna desfase_segundos es la hora del equipo menos la hora real, medida el 1 de octubre de 2026 contra el servidor de tiempo corporativo: un valor positivo es un reloj adelantado, uno negativo, atrasado. fuente_de_tiempo dice con quién se sincroniza.

eventos_del_incidente trae la hora que cada equipo escribió (hora_registrada, todas en UTC). Para corregirla se resta el desfase: hora real igual a hora registrada menos desfase. Corrige el evento del cortafuegos.

Sin corregir, los eventos se leen en el orden de hora_registrada: el cortafuegos parece lo último que ocurrió. Con las horas corregidas la secuencia cambia. Ordena de nuevo los cuatro y mira cuál queda al final.

El desfase se midió el 1 de octubre y los eventos son del 28 de septiembre. Se asume que el desfase fue el mismo, y es una suposición: un reloj sin fuente se mueve con el tiempo. La redacción honesta pone las tres cosas a la vista: la hora que escribió el equipo, el desfase medido con su fecha y la hora corregida, y no toca el registro original.