Leer un log como evidencia

01 // Separa campos de conclusiones

Un log registra lo que una fuente observó. Lee tiempo, fuente, cuenta o servicio, acción, recurso, origen y resultado antes de interpretar. Un campo ausente limita la conclusión: sin resultado no sabes si la operación terminó permitida o denegada.

02 // Haz comparables los relojes

Una marca con Z representa UTC; otra sin zona puede usar hora local. Antes de declarar un orden imposible, compara zona horaria, sincronización y precisión. Guarda siempre la fuente junto con su tiempo, porque la deriva de un reloj puede invertir una secuencia corta.

Ejemplo: 14:05 sin zona y 20:04Z pueden describir el mismo instante desde referencias distintas. Convertirlas es una comprobación previa, no una corrección del registro original.

03 // Correlaciona la cobertura

Varias fuentes pueden registrar partes del mismo hecho. Si un proxy conserva una solicitud mientras la aplicación se reinicia, la ausencia en la aplicación describe cobertura incompleta; no demuestra que la solicitud no ocurrió. Busca identificadores, cuentas, rutas y ventanas comunes.

04 // Convierte la señal en la siguiente pregunta

Un acceso denegado puede ser un error de permisos, una ruta equivocada o una política funcionando. Reúne historial, volumen, cambios cercanos y fuentes independientes antes de atribuir una causa.

Ejemplo: con eventos ficticios de example.com, anota qué campos existen, qué no puedes inferir y qué otra fuente pedirías. Conserva el texto original y documenta conversiones o agrupaciones para que otra persona pueda repetir el análisis.