Análisis de líneas de tiempo

La línea de tiempo (timeline) ordena cronológicamente todos los eventos de un sistema —ficheros, logs, registro, ejecuciones— para reconstruir la secuencia del ataque: cuándo entró, qué hizo y en qué orden. Es la técnica que une todas las evidencias en una narrativa.

Tipos de timeline

Timeline de sistema de ficheros   solo MAC(B) times de los ficheros (del $MFT/inodos)
Super timeline                    TODO: FS + logs + registro + navegador + artefactos
                                  -> la foto completa, mucho más contexto

MACB timestamps

M  Modified    última modificación del contenido
A  Accessed    último acceso (a menudo deshabilitado por rendimiento)
C  Changed/MFT cambio de metadatos (NTFS: $STANDARD_INFORMATION)
B  Birth/Born  creación
# en NTFS comparar $STANDARD_INFORMATION vs $FILE_NAME detecta timestomping (anti-forense)

Construcción con Plaso / log2timeline

log2timeline.py salida.plaso imagen.dd     # extrae eventos de TODAS las fuentes
psort.py -o l2tcsv salida.plaso > timeline.csv   # ordena y filtra a CSV
# Timesketch: analizar/colaborar sobre la super timeline en web (filtros, tags, grafo)

Flujo de análisis

1. acotar la VENTANA temporal del incidente (primer indicio conocido)
2. filtrar ruido (actualizaciones, actividad legítima) alrededor de esa ventana
3. buscar la secuencia: entrada -> ejecución -> persistencia -> lateral -> objetivo
4. anclar en artefactos de alto valor (ejecución, logins, creación de cuentas; ver dfir-win-art)
5. correlacionar con memoria (dfir-memoria) y red (dfir-red)

Pivotar y correlacionar

- un artefacto da una hora -> buscar qué más ocurrió en ese segundo/minuto
- combinar fuentes: 4624 (login) + Sysmon 1 (proceso) + $MFT (fichero) + netscan (C2)
- reconstruir la cadena de ataque (dfir-cadena de eventos) y mapear a ATT&CK (cti-attack)

Blue Team / DFIR

La super timeline es el pegamento del DFIR: convierte artefactos sueltos en una historia defendible.
Cuidar zonas horarias y NTP: todo debe estar en UTC o normalizado, o la correlación miente.
Detectar timestomping (SI vs FN) para no fiarse de timestamps manipulados.
Timesketch para colaborar y anotar; el resultado alimenta el informe y las lecciones aprendidas.

Casos reales

La super timeline con Plaso es estándar en IR para datar la intrusión y su secuencia.
Detección de timestomping (herramientas tipo timestomp/SetMace) por discrepancia SI/FN en $MFT.
Casos donde el desfase de zona horaria/NTP llevó a conclusiones erróneas hasta normalizar a UTC.

Checklist de prueba

Acotar la ventana temporal del incidente
Generar super timeline (log2timeline/Plaso)
Normalizar a UTC y verificar NTP/zonas horarias
Filtrar ruido alrededor de la ventana
Reconstruir secuencia (entrada→ejecución→persistencia→lateral→objetivo)
Detectar timestomping (SI vs FN en $MFT)
Correlacionar con memoria/red y mapear a ATT&CK