Monte uma linha do tempo

Uma linha do tempo ajuda você a explicar como um incidente se desenrolou. Leia os eventos em ordem cronológica e separe o que aconteceu antes da limpeza do que aconteceu depois.

Os registros do computador de prática mostram um programa sendo iniciado antes de uma transferência:

seclab logs

Procure estas linhas:

2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv

O registro do processo associa demo-helper ao seu processo pai, demo-browser. Juntos, os registros sustentam uma explicação breve: o navegador iniciou o auxiliar e, em seguida, a conexão do auxiliar transferiu um arquivo.

Não transforme uma suposição em uma constatação. Se os registros mostram apenas uma conexão, você não pode afirmar que os dados saíram. Registre o processo inicial deste exemplo:

seclab answer first demo-browser

Você deverá ver:

Recorded your answer to first.

As evidências anteriores são levadas para tickets posteriores como um arquivo salvo chamado evidence, seguido do nome do computador. Isso mantém o registro original disponível após a limpeza.