Timeline Forense

¿Qué es un Timeline Forense?

El timeline forense o línea temporal forense es la reconstrucción cronológica ordenada de todos los eventos digitales relevantes para una investigación. Integra información de múltiples fuentes (sistema de archivos, registros, logs, metadatos) para crear una narrativa temporal de lo que ocurrió.

En mi experiencia como perito informático forense, el timeline es a menudo la pieza central del análisis. No basta con encontrar un archivo incriminatorio; necesito demostrar cuándo se creó, cuándo se modificó, cuándo se accedió y cuándo se copió. La secuencia temporal cuenta la historia.

Fuentes de Timestamps

Sistema de Archivos (MACB Times)

Cada archivo tiene timestamps fundamentales:

Registro de Windows

Logs y Eventos

Artefactos de Navegación

Metadatos de Archivos

Construcción del Timeline

Herramientas de Análisis Temporal

Extracción y Creación de Timeline

Análisis Específico

Ejemplo de Salida de log2timeline

datetime,timestamp_desc,source,sourcetype,type,user,host,message
2026-01-28T09:15:23Z,Content Modification Time,FILE,NTFS,Modified,SYSTEM,PC-CONTA,C:\Users\jperez\Documents\clientes.xlsx
2026-01-28T09:15:45Z,Creation Time,FILE,NTFS,Created,SYSTEM,PC-CONTA,E:\Backup\clientes.xlsx
2026-01-28T09:16:02Z,Registry Last Written,REG,USBStor,Device Connected,SYSTEM,PC-CONTA,Kingston DataTraveler S/N:123456
2026-01-28T09:20:33Z,File Accessed,FILE,NTFS,Accessed,SYSTEM,PC-CONTA,C:\Users\jperez\Documents\nominas_2025.pdf

Análisis de Patrones Temporales

Patrones Sospechosos

Correlación Cruzada

La potencia del timeline está en correlacionar eventos de diferentes fuentes:

Ejemplo de correlación:
├── 09:15:23 - Archivo clientes.xlsx modificado (MFT)
├── 09:15:30 - USB Kingston conectado (Registry)
├── 09:15:45 - clientes.xlsx creado en E:\ (MFT USB)
├── 09:16:00 - Explorer.exe accede a E:\ (Prefetch)
├── 09:20:00 - USB desconectado (Registry)
└── 09:21:15 - Usuario cierra sesión (Event Log)

CONCLUSIÓN: El usuario copió clientes.xlsx al USB y se fue.

Caso Práctico: Reconstrucción de Robo de Información

Timeline Reconstruido

Semana 1-2 antes de la marcha: Actividad normal

Actividad típica de trabajo:
- Acceso a planos de proyectos asignados
- Modificaciones durante horario laboral
- Sin conexiones de USB inusuales

3 días antes de la marcha: Cambio de patrón

2026-01-25 22:47:15 - Login fuera de horario (Event Log)
2026-01-25 22:48:33 - Acceso a carpeta "Proyectos Confidenciales" (MFT Access)
2026-01-25 22:49:01 - Acceso a subcarpeta "Cliente_ABC" (no asignado)
2026-01-25 22:51:00-23:15:00 - 47 archivos DWG accedidos
2026-01-25 23:17:45 - USB SanDisk conectado (Registry)
2026-01-25 23:18:00-23:35:00 - Creación de 47 archivos en E:\ (mismo nombre)
2026-01-25 23:36:12 - USB desconectado
2026-01-25 23:37:45 - Logout

Día de la marcha

2026-01-28 09:00:00 - Login normal
2026-01-28 09:15:00 - Borrado de carpeta "Backup_Personal" en Documentos
2026-01-28 09:16:00 - Vaciado de papelera
2026-01-28 09:30:00 - Entrega de portátil a IT

Hallazgos Clave del Timeline

1. Acceso fuera de horario: Única sesión nocturna en 6 meses
2. Acceso a proyectos no asignados: Carpetas a las que nunca había accedido
3. Conexión de USB: Nunca antes había conectado dispositivos extraíbles
4. Correlación temporal perfecta: USB conectado justo después de acceder a archivos
5. Intento de ocultación: Borrado de carpeta personal antes de entregar equipo

Valor Probatorio

El timeline demostró:

• Cuándo: Noche del 25 de enero
• Qué: 47 planos de proyectos específicos
• Cómo: Copia a USB personal
• Intención: Acceso a proyectos no asignados, horario inusual, borrado posterior

Manipulación de Timestamps

¿Se Pueden Falsificar?

Los timestamps pueden modificarse, pero es difícil hacerlo de forma coherente:

Detección de Manipulación

Como perito, verifico consistencia entre:

Fuentes cruzadas para verificación:
├── Timestamps del sistema de archivos
├── Timestamps en $MFT (NTFS)
├── Timestamps en $UsnJrnl (cambios)
├── Event Logs de Windows
├── Metadatos internos de documentos
├── Logs de aplicaciones
├── Registros de red (si disponibles)
└── Servicios cloud (si sincronizado)

Consideraciones de Zona Horaria

Problemática

Diferentes sistemas almacenan timestamps en diferentes zonas:

Solución

Normalizo todo a UTC antes de crear el timeline, documentando las conversiones realizadas.

Presentación del Timeline

Para el Tribunal

El timeline debe ser:

• Visual: Gráficos de línea temporal, no solo tablas
• Comprensible: Explicar qué significa cada evento
• Selectivo: Mostrar eventos relevantes, no miles de líneas
• Contextualizado: Relacionar con los hechos investigados

Ejemplo de Presentación Visual

TIMELINE: Copia de Archivos a USB
================================

21:00 ─────────────────────────────────────────────────
        │
22:47   │ ■ Login fuera de horario habitual
        │   (único login nocturno en 6 meses)
        │
22:49   │ ■ Acceso a carpetas no asignadas
        │   (Proyectos Confidenciales/Cliente_ABC)
        │
23:17   │ ■ USB SanDisk conectado
        │   S/N: 4C530001234567890
        │
23:18-  │ ■ Copia de 47 archivos al USB
23:35   │   (planos DWG, 234 MB total)
        │
23:36   │ ■ USB desconectado
        │
23:37   │ ■ Logout
        │
24:00 ─────────────────────────────────────────────────

Conclusión

El timeline forense es la columna vertebral de muchas investigaciones digitales. Permite transformar datos dispersos en una narrativa coherente y verificable de los hechos.

Como perito informático, construyo timelines que no solo muestran qué archivos existían, sino cuándo se crearon, modificaron, copiaron y borraron. Esta información temporal es frecuentemente la que responde las preguntas clave de una investigación.

¿Necesitas reconstruir la cronología de eventos en un caso de fraude, fuga de información o incidente de seguridad? Contacta con Digital Perito para un análisis temporal forense profesional.

Última actualización: 3 de febrero de 2026 Categoría: Forense Digital Código: TLF-001