Área 09

Análisis de líneas de tiempo

Una línea de tiempo convierte artefactos dispersos en una historia. Esta área cubre los body files y mactime, log2timeline y psort de Plaso con los parsers de Linux relevantes, la normalización a UTC y el pivote desde un evento ancla malicioso conocido.

mactime
log2timeline
Timesketch

Guías de esta área

Por ahora estas guías solo están publicadas en inglés. Los enlaces siguientes abren la versión en inglés.

09 · Análisis de líneas de tiempoInglés

Building a Linux Super Timeline with Plaso and mactime

Build a Linux forensic super timeline with TSK mactime and Plaso: log2timeline, psort and pinfo, Linux parsers, time slicing, UTC and Timesketch.

timelineplasolog2timeline

28 sept 2026

Fichas de artefactos

Dónde vive cada artefacto, qué demuestra, sus marcas de tiempo y las herramientas para analizarlo.

Marcas de tiempo de ext4, crtime y archivos borradosMarcas de tiempo de los inodos ext4 (atime, mtime, ctime, crtime, dtime) con nanosegundos, relatime, el journal jbd2 y qué se puede recuperar de lo borrado.
Journal de systemd: el registro binario de LinuxEl registro binario de systemd-journald: entradas estructuradas, campos de proceso fiables y marcas de tiempo UTC en microsegundos, a menudo el único log.
auth.log, secure y syslog: logs de texto de LinuxLogs de texto de rsyslog en Linux: auth.log y syslog en Debian/Ubuntu, secure y messages en RHEL, con las trampas de rotación y formato de fecha.
auditd audit.log: registro de auditoría del kernelEl log de auditoría de Linux escrito por auditd: logins PAM, syscalls, argumentos de execve y accesos vigilados, cada uno ligado al usuario original (auid).
Linux Thumbnail Cache: ~/.cache/thumbnails ForensicsThe freedesktop thumbnail cache on Linux: PNG previews named by the MD5 of the file URI, holding path and mtime, that outlive deleted files.
Linux Trash: freedesktop .trashinfo Files and Deleted ItemsThe freedesktop.org Trash on Linux desktops: .trashinfo records with original path and deletion time, the trashed files themselves and per-volume trash folders.

Todas las áreas