Qué junta una super línea de tiempo

Cada artefacto de un equipo guarda sus propias horas y en su propio formato: el sistema de archivos tiene las suyas, el registro de eventos de Windows otras, el navegador otras. Revisarlos uno a uno obliga a comparar a mano. Una super línea de tiempo los lleva a una misma tabla: cada fila es un evento con su hora en UTC, una descripción de qué clase de hora es, la fuente de la que salió y un mensaje legible.

Esa descripción de la clase de hora es lo que más se pasa por alto. Una hora de creación de un archivo y una de modificación no cuentan lo mismo, y una fila sin esa descripción puede leerse al revés. La fila es el evento, no el objeto: un mismo archivo puede dar varias filas.

El procesamiento de una imagen deja un archivo de línea de tiempo en el que cada fuente aporta un número de filas distinto. Saber cuántas filas entran y de dónde es el primer paso de cualquier análisis: sin esa cifra no se sabe si un filtro quitó mucho o poco, ni se puede comparar el archivo con el espacio de trabajo al cargarlo.

En la consola está la imagen de sbn-fs02, el servidor de archivos de Sierrabonita, con las seis fuentes que se extrajeron.

Las fuentes no pesan lo mismo. Los metadatos de un volumen de archivos producen una avalancha de filas porque cada archivo y cada carpeta tienen varias marcas; el registro de eventos aporta menos, pero cada fila suele ser un hecho de más valor. En una línea de tiempo grande, lo que más filas tiene casi nunca es lo que más explica.

Por eso conviene saber qué fuente domina el archivo: es la que más ruido puede meter en cualquier búsqueda y la que más filtros pedirá.

Un sistema de archivos guarda varias horas por cada archivo y una super línea de tiempo las separa en filas distintas, cada una con su descripción. Así se ve cuándo se creó el archivo, cuándo se modificó su contenido, cuándo se leyó por última vez y cuándo cambió algún atributo suyo.

En la consola, un_archivo_en_la_linea reúne las filas de un mismo archivo de compras. La columna tipo_de_marca es la clave: la hora sola no significa nada.

Mira otra vez la tabla de ese archivo: su contenido se modificó el 30 de agosto y su creación en este volumen es del 13 de septiembre. Una creación posterior a la modificación parece imposible, pero en muchos sistemas de archivos es lo normal cuando el archivo llegó por copia o descarga: la copia conserva la hora de modificación del original y estrena su propia hora de creación.

Leerlo como un error de reloj lleva a desconfiar de toda la tabla; leerlo como una pista dice que el archivo llegó a este volumen en esa fecha.