Linha do tempo do incidente
Juntar os eventos de vários registros, em ordem de hora, numa única história.
Cada log conta um pedaço. O log de autenticação diz quando alguém entrou; o de acesso web, o que foi pedido ao site; os fluxos, quantos dados saíram. Sozinho, cada um é um fragmento. Uma linha do tempo junta tudo: você pega os eventos relevantes de cada registro, anota a hora de cada um e os ordena. A história aparece.
Um exemplo de ordem que faz sentido num ataque:
- recon no site, com entradas estranhas (log de acesso);
- tentativas de senha até entrar no servidor (log de autenticação);
- uma grande transferência de dados para fora, logo depois (fluxos de rede).
A ordem importa por dois motivos. Primeiro, ela mostra causa e efeito: a saída de dados vir depois da invasão liga uma coisa à outra. Segundo, uma data serve de marco para obrigações que têm prazo. No relatório, o momento em que a equipe confirma que dados de pessoas foram afetados costuma ser o que inicia a contagem do prazo de comunicação.