Crea una cronología

Una cronología te ayuda a explicar cómo se desarrolló un incidente. Lee los eventos en orden cronológico y separa lo que ocurrió antes de la limpieza de lo que ocurrió después.

Los registros del ordenador de práctica muestran que un programa se inició antes de una transferencia:

seclab logs

Busca estas líneas:

2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv

El registro del proceso vincula demo-helper con su proceso principal, demo-browser. En conjunto, los registros respaldan una explicación breve: el navegador inició el programa auxiliar y, después, la conexión de este transfirió un archivo.

No conviertas una suposición en un hallazgo. Si los registros solo muestran una conexión, no puedes afirmar que se hayan enviado datos. Registra el proceso inicial para este ejemplo:

seclab answer first demo-browser

Deberías ver:

Recorded your answer to first.

Las pruebas anteriores se incluyen en los tickets posteriores como un archivo guardado cuyo nombre es evidence seguido del nombre del ordenador. Así, el registro original sigue estando disponible después de la limpieza.