Qué es una cronología forense
Una cronología forense es la lista de los sucesos de un incidente, puesta en orden de tiempo. Cada suceso sale de un registro distinto, y juntos cuentan la historia completa.
Un registro por separado dice poco. Cuando lo pones al lado de los demás, ves qué ocurrió primero y qué fue consecuencia.
Al final de esta lección
Nota
Puedo reconstruir una cronología a partir de varios registros.
Palabras clave
| Palabra | Qué significa | Ejemplo |
|---|---|---|
| Cronología | los sucesos puestos en orden de tiempo | |
| Marca de tiempo | la fecha y la hora escritas en una línea | |
| Zona horaria | el desfase de una hora respecto a la hora universal | +0000 |
| Correlación | unir sucesos de registros distintos por un dato común | |
| Desfase del reloj | la diferencia entre el reloj de un equipo y la hora real |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Cada registro escribe la hora a su manera
El registro de acceso por SSH, auth.log, escribe el mes, el día y la hora, sin año ni zona. El registro del servidor web escribe el día, el mes, el año, la hora y la zona entre corchetes.
Para ordenar sucesos de los dos registros primero hay que escribir las horas del mismo modo.
Ejemplo: dos formatos de hora
| Registro | Cómo escribe la hora | Qué le falta |
|---|---|---|
| auth.log | Oct 14 03:05:09 | El año y la zona |
| access.log del servidor web | [14/Oct/2026:03:05:09 +0000] | Nada: trae año y zona |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Las primeras líneas del registro de acceso
head -n 2 case/var/log/auth.logSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Recorta la hora de una línea de acceso
printf 'Oct 14 03:05:09 aula01 sshd[10]: texto\n' | cut -d' ' -f3Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Recorta la hora de una línea web
printf '[14/Oct/2026:03:05:09 +0000]\n' | cut -c14-21Se muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Escribe las horas igual y ordena el texto
Si todas las horas tienen la forma HH:MM:SS, con ceros delante, el orden alfabético es el orden del tiempo. Con ceros, 09:30 va antes de 10:00. Sin ceros, 9:30 iría después.
Pon cada línea con su hora al principio, y ordénalas con sort.
Ordena tres sucesos de tres registros
printf '03:05:09 auth entra marta\n02:59:00 web pide /admin\n03:01:30 cron lanza una tarea\n' | sortSe muestra aquí y no se ejecuta. Crea una cuenta gratuita para pulsar Ejecutar y escribirlo en el terminal de tu propio laboratorio.
Ejemplo: la cronología de esas tres líneas
| Hora | Origen | Suceso |
|---|---|---|
| 02:59:00 | Servidor web | Alguien pide una página de administración |
| 03:01:30 | Cron | Se lanza una tarea |
| 03:05:09 | Acceso por SSH | Entra la cuenta marta |
Las celdas que rellenan los estudiantes quedan en blanco en esta vista previa.
Un error frecuente
Advertencia
Mucha gente cree que todos los relojes dicen lo mismo. Un equipo puede ir adelantado un minuto o estar en otra zona. Busca un suceso que salga en dos registros, calcula la diferencia y corrige uno de ellos antes de ordenar.
La correlación une registros por un dato común
Un dato que aparece en varios registros sirve de hilo: una dirección IP, un nombre de cuenta o una ruta de archivo. Se llama correlación.
Por ejemplo, la misma dirección aparece en el registro web y en el de acceso. Así sabes que esas dos líneas hablan de la misma visita.