Unir las tres fuentes

No todas las fuentes escriben la hora en la misma zona. Antes de ordenar los eventos hay que pasarlos a una sola. Abre zonas_horarias y correo y calcula a qué hora local, en UTC-5, se entregó el primer mensaje con el enlace.

El resolvedor y el proxy ven direcciones, no equipos. Una dirección cambia de equipo a lo largo del día, y la consulta que importa ocurrió a una hora concreta. Con dhcp y la hora de la consulta del nombre del enlace en dns, di qué equipo tenía la dirección entonces.

El correo llegó a una persona y se reenvió a otra. En el proxy, la petición al enlace lleva el nombre de la sesión de quien navegaba, que puede no ser la persona que lo recibió primero. Relaciona correo con proxy por el enlace.

Después de abrir la página hay una segunda petición, con método POST, a una ruta de entrada. Su tamaño dice cuánto se envió, no qué contenía. Un envío corto a una página que imita un cobro es compatible con haber escrito algo en un formulario y no lo prueba.

Con las tres fuentes se arma una secuencia: correo, reenvío, consulta del nombre, petición a una página sin categoría y un envío. Falta lo que ninguna registra: qué se escribió en la página, quién estaba frente al equipo y si hubo daño.