Lập dòng thời gian

Dòng thời gian giúp bạn giải thích một sự cố đã diễn ra như thế nào. Đọc các sự kiện theo thứ tự thời gian và phân biệt những gì xảy ra trước khi dọn dẹp với những gì xảy ra sau đó.

Nhật ký trên máy tính thực hành cho thấy một chương trình khởi chạy trước khi có hoạt động truyền dữ liệu:

seclab logs

Tìm những dòng sau:

2026-11-01 08:56:00 practice-laptop PROCESS_STARTED demo-helper parent=demo-browser
2026-11-01 08:58:00 practice-laptop DATA_TRANSFERRED demo-upload: training-records.csv

Bản ghi tiến trình liên kết demo-helper với tiến trình cha của nó, demo-browser. Kết hợp lại, các bản ghi hỗ trợ một lời giải thích ngắn gọn: trình duyệt khởi chạy trình trợ giúp, sau đó kết nối của trình trợ giúp truyền một tệp.

Đừng biến suy đoán thành phát hiện. Nếu các bản ghi chỉ cho thấy một kết nối, bạn không thể khẳng định dữ liệu đã rời khỏi máy. Ghi lại tiến trình khởi đầu cho ví dụ này:

seclab answer first demo-browser

Bạn sẽ thấy:

Recorded your answer to first.

Bằng chứng trước đó được chuyển sang các phiếu xử lý sau dưới dạng một tệp đã lưu, có tên evidence theo sau là tên máy tính. Cách này giúp giữ bản ghi gốc để bạn có thể dùng lại sau khi dọn dẹp.