Conceito e funcionamento
Fontes usam UTC, offsets, horário local e relógios potencialmente incorretos. Normalizar para UTC é útil para comparar eventos, mas o timestamp original e seu timezone devem permanecer acessíveis. Hora de ocorrência pode diferir de gravação, envio e indexação; a ordem de apresentação não comprova causalidade.
Como investigar e correlacionar
Registre evento, fonte, host, conta, timestamp original, UTC, método de transformação e identificador de evidência. Compare com sessão, processo e autenticação para sustentar relações. Inclua uma coluna de grau de certeza e linhas de fontes incompletas em vez de descartar dados divergentes.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Eventos de VPN, SSH e aplicação parecem ocorrer fora de ordem por divergência de timezone e atraso de indexação.
Procedimento orientado
Preserve timestamp original, normalize UTC com offset conhecido e compare sessão, host e IDs antes de associar.
Resultado esperado
A timeline deve indicar onde o horário é certo, aproximado ou desconhecido e como a inferência foi obtida.
Cuidados adicionais
Proximidade de tempo, mesmo em UTC, não prova causalidade entre atores e ações.
Limitações e interpretações incorretas
Próximos no tempo não significa causados um pelo outro. Cópias com relógio errado e fontes truncadas podem inverter a narrativa. Uma timeline publicada deve ser sintética ou devidamente autorizada e sanitizada.
Checklist de validação
- Preservar timestamp original
- Documentar conversão UTC
- Referenciar origem do evento
- Sinalizar lacunas e incertezas
Referências técnicas
Guias para aprofundar
- preservacao evidencias timeline — aguardando publicação editorial