Guía defensiva
¿Cómo construir una cronología con varias fuentes de logs?
Una cronología ordena observaciones procedentes de varias fuentes. Su valor es dejar claro qué evidencia respalda cada paso y dónde aparecen huecos o relojes incompatibles.
Conserva fuente y hora original
Cada evento debe conservar su fuente, hora original, zona conocida y precisión. Normalizar a una referencia común ayuda a leer, pero no borra diferencias de reloj ni convierte una marca aproximada en un instante exacto.
Ejemplo: un proxy de laboratorio registra una solicitud a las 10:01Z y una aplicación registra una operación a las 10:02Z. Se pueden colocar juntos como eventos cercanos, pero la cercanía no prueba que uno causó el otro.
Relaciona por más de un campo
Una cuenta, identificador de solicitud, activo o referencia de cambio puede ayudar a conectar fuentes. Usa varios campos cuando estén disponibles y registra cuál sostuvo la relación. Dos eventos a la misma hora con la misma cuenta pueden pertenecer a acciones diferentes.
Si faltan identificadores, conserva la ambigüedad. Una cronología honesta puede tener ramas o preguntas abiertas; inventar un enlace para que sea lineal dificulta la revisión posterior.
Incluye cambios esperados
Los cambios aprobados aportan contexto, pero sólo explican el alcance que documentan. Compara ventana, responsable y efecto esperado contra cada observación. Un cambio cercano no absuelve automáticamente una actividad distinta o fuera de referencia.
Registra también fuentes que no estaban disponibles. Su ausencia limita qué puedes concluir, pero no demuestra que un evento no sucedió. Esta distinción protege a quien reciba el caso de una certeza falsa.
Revisa con otra persona
Antes de cerrar una secuencia relevante, pide una lectura independiente de los vínculos y horas. La otra persona debe poder rastrear cada flecha a una fuente autorizada, no a una narrativa resumida.
La salida final separa hechos observados, inferencias y acciones. Esa estructura permite actualizar la cronología cuando aparezca una fuente nueva sin reescribir la evidencia que ya se conservó.