Línea de tiempo desde fuentes de red

Una línea de tiempo es la lista de eventos ordenada por hora. Si las horas están en zonas distintas, o una fuente no declara zona, el orden sale mal y la historia también: el efecto puede quedar antes de la causa. Por eso lo primero es llevar todo a UTC, que no cambia con el horario local, y conservar la hora original al lado para poder volver a ella.

Colombia no usa horario de verano: su hora local es UTC menos cinco horas todo el año.

El proxy escribe Dec 7 14:03:40: sin año y sin zona. Su ficha en la tabla de relojes dice que esa hora es la local de la empresa, UTC menos cinco. Para llevarla a UTC se suman cinco horas. Ante una hora sin zona nunca se supone: se busca en la configuración de la fuente o se mide contra un evento que otra fuente también vio.

Con todo en UTC aparece el orden real. Leída sin convertir, la tabla engaña: las horas locales parecen más tempranas que las que ya están en UTC. Convierte las del cortafuegos y del proxy y ordena las cinco; el primer evento marca por dónde empezó el rastro visible y qué fuente lo vio antes que las demás.

Medir intervalos entre fuentes es lo que convierte la línea de tiempo en una evaluación: cuánto pasó entre la primera conexión permitida y la alerta dice cuánto tardó la detección. Se restan horas ya normalizadas. Mezclar una hora local con una UTC da diferencias de horas enteras, un error que parece un hallazgo.

Una línea de tiempo es tan precisa como el reloj más débil que la compone. Una fuente sin sincronía horaria, con un desfase de segundos o minutos, hace que sus eventos «bailen» respecto a los demás. No invalida la fuente, pero obliga a declararlo en el informe: el orden de eventos cercanos a ella no se puede afirmar con certeza.

Revisa la tabla de relojes.