Cronología forense
Reconstruye el orden de los eventos alrededor de un endpoint o un usuario, y exporta la secuencia como evidencia.
Qué es la cronología forense#
La cronología forense reconstruye, en orden, lo que ocurrió en un endpoint. Es el paso entre notar una señal y explicarla: una alerta te dice que algo cambió; la cronología te dice qué cambió primero.
La cronología se construye únicamente a partir de eventos recopilados. No infiere y no llena los vacíos con suposiciones; por tanto, una cronología incompleta significa una recopilación incompleta, no un evento oculto.
Construir una cronología#
- 1Elige el punto de anclaje
Comienza desde un endpoint o un usuario. La cronología siempre es relativa a un activo, porque un evento sin un activo carece de contexto.
- 2Define la ventana
Elige un rango de tiempo alrededor del evento que estás investigando. Una ventana demasiado amplia oculta la secuencia que buscas.
- 3Filtra los tipos de eventos
Reduce la cronología a las familias de eventos que importan. Una vista de procesos y red suele ser suficiente para explicar una señal.
- 4Lee en orden
Lee los eventos en orden cronológico y busca la causalidad, no solo la proximidad. Dos eventos separados por un segundo no están necesariamente relacionados.
- 5Exporta antes de cerrar
Exporta la cronología cuando respalde una decisión, para que la evidencia sobreviva a la ventana de retención.
Tipos de eventos#
La cronología incluye seis familias de eventos. Combínalas para explicar una secuencia:
| Familia de eventos | Qué registra |
|---|---|
| Eventos de proceso | Inicio y fin del proceso, con la línea de comandos y el proceso padre. |
| Eventos de archivo | Creación, modificación y eliminación de archivos en ubicaciones vigiladas. |
| Eventos de red | Intentos de conexión y destinos externos observados en el endpoint. |
| Eventos de autenticación | Inicios de sesión, cambios de privilegio e intentos fallidos. |
| Eventos de política | Cambios de política aplicados al endpoint y el estado resultante. |
| Eventos de acción | Scripts, automatizaciones y operaciones remotas realizadas en el endpoint. |
Exportación y evidencia#
- Exporta la cronología filtrada cuando respalde una decisión, un informe de incidente o una respuesta regulatoria.
- Incluye el endpoint, el usuario y la ventana de tiempo en la exportación, porque una cronología sin su alcance no puede interpretarse.
- Adjunta la exportación al incidente en lugar de describirla en prosa; la secuencia es la evidencia.
- La retención en el dispositivo está bajo tu control, pero la evidencia exportada sobrevive a cualquier cambio de retención.