La línea de tiempo del caso

La línea de tiempo de Autopsy reúne en un solo eje eventos de varias fuentes: las marcas de tiempo del sistema de archivos (modificado, accedido, creado, cambiado), la actividad web (descargas, historial, búsquedas) y otros, como los dispositivos conectados, los documentos recientes o los metadatos EXIF de las fotos. Tiene tres vistas: recuento, un gráfico de barras que muestra cuándo hubo más actividad; detalle, que agrupa y muestra eventos concretos y permite ver qué pasó antes y después de uno; y lista, todos los eventos en orden.

La vista no cambia los datos, cambia lo que se puede preguntar.

Una secuencia se lee de arriba abajo, pero conviene leerla con una pregunta: ¿qué pasó después del hecho que investigamos? Un evento aislado dice poco; el conjunto de lo anterior y lo posterior le da contexto y a veces lo contradice.

Mira los eventos del viernes después de que se creó la copia de la lista en la memoria USB.

Medir cuánto tiempo pasó entre dos eventos convierte una sospecha en un dato: si la copia a la USB ocurrió dos segundos después de la creación del archivo, no hubo tiempo de trabajo humano entre ambas; si pasaron veinte minutos, sí. Para restar horas, se pasan ambas a segundos desde la misma medianoche, y cuidado con el cambio de día.

Calcula el intervalo entre la creación del archivo en Descargas y su copia en la memoria USB.

La vista exportada está en UTC, pero el portátil estaba configurado en la zona de Bogotá, UTC-05:00, y es la hora del lugar la que consta en el acta y la que recuerdan los testigos. Pasar de UTC a hora local es restar el desplazamiento: por ejemplo, 02:30:00 UTC es, cinco horas antes, las 21:30:00 de la noche anterior en esa zona. Se anota la zona junto a cada hora para que nadie la confunda.

La secuencia dice qué hubo y en qué orden. No dice qué contenía el correo que se abrió después, si lo que se copió llegó a salir del equipo ni quién estaba en el teclado. Al redactar, se cuenta lo que el eje sostiene y se separa lo que solo se sugiere.