Marcas de tiempo y zonas horarias

La mayoría de las conclusiones forenses implican cuestiones temporales: cuándo se creó un archivo, cuándo se conectó un dispositivo, qué ocurrió primero. Las marcas de tiempo parecen precisas, pero cada sistema almacena el tiempo de manera diferente, registra distintos eventos y puede utilizar un reloj incorrecto. Una cronología construida sin comprobar esas tres cosas puede ordenar mal los hechos, y una hora de diferencia por la zona horaria basta para cambiar una conclusión. La lección 6.3 muestra los artefactos que contienen muchas de estas marcas de tiempo.

Qué registra una marca de tiempo

Los sistemas de archivos suelen registrar hasta cuatro tiempos para cada archivo, a menudo abreviados como MACB:

El significado exacto depende del sistema de archivos y del sistema operativo. En Linux, el campo clásico "ctime" significa cambio de metadatos, no creación; el tiempo de creación es un campo independiente que ext4 registra. Los tiempos de acceso requieren especial cautela: Windows puede desactivar las actualizaciones del último acceso, y su registro depende de la versión y de la configuración, por lo que un tiempo de acceso puede ser antiguo, aproximado o no haberse actualizado nunca.

Cómo almacenan el tiempo los sistemas

Las computadoras almacenan el tiempo como un recuento desde un punto de partida fijo, denominado época. Los distintos sistemas utilizan diferentes épocas y unidades.

La enseñanza práctica tiene dos aspectos. Una marca de tiempo no significa nada hasta que se conoce su formato, por lo que las herramientas deben decodificarla correctamente. Además, FAT almacena la hora local sin zona horaria, de modo que el examinador debe averiguar qué zona horaria utilizaba el dispositivo que la escribió.

Dos conjuntos de marcas de tiempo de NTFS

Cada archivo NTFS tiene dos conjuntos de cuatro marcas de tiempo. El conjunto de $STANDARD_INFORMATION es el que muestra el Explorador de Windows, y los programas pueden modificarlo mediante funciones normales del sistema; las herramientas que alteran las marcas de tiempo de forma intencionada, conocidas como herramientas de timestomping, suelen modificar este conjunto. El conjunto de $FILE_NAME lo mantiene el propio sistema de archivos y se actualiza en menos situaciones, como cuando se crea un archivo, se cambia su nombre o se mueve. Un tiempo de creación en $STANDARD_INFORMATION muy anterior al tiempo de creación en $FILE_NAME puede ser un indicio de manipulación, pero las operaciones normales también pueden hacer que los dos conjuntos difieran. Estas diferencias son un motivo para investigar más, no una conclusión por sí solas.

Zonas horarias y horario de verano

UTC (tiempo universal coordinado) es la referencia global. La hora local es UTC más o menos un desfase, que puede cambiar durante el año cuando comienza o termina el horario de verano. Windows guarda la zona horaria configurada en el registro, en SYSTEM\CurrentControlSet\Control\TimeZoneInformation, y otros sistemas mantienen configuraciones similares.

• Averigüe qué zona horaria tenía configurada cada dispositivo y si cambió con el tiempo.
• Sepa si cada fuente almacena UTC o la hora local y cómo la muestra su herramienta.
• Preste atención a los cambios de horario de verano: en primavera se omite una hora local y en otoño una hora se repite.
• Informe de las horas en UTC con el desfase indicado, por ejemplo 2026-03-14T12:47:05Z, o de la hora local con su desfase, 2026-03-14T09:47:05-03:00.

Relojes incorrectos

Las marcas de tiempo solo son tan exactas como el reloj que las generó. Una computadora que no se sincroniza con un servidor de tiempo puede desviarse segundos o minutos, y un reloj puede configurarse de forma incorrecta por error o intencionadamente. Una buena práctica es registrar, durante la adquisición, la lectura del reloj del dispositivo junto a una hora de referencia fiable y anotar la diferencia, denominada desfase del reloj. Si el reloj de una computadora portátil está adelantado 4 minutos, sus marcas de tiempo se ajustan 4 minutos al compararlas con los registros de un servidor, y el informe explica el ajuste. El desfase en el momento de la adquisición no demuestra cuál era el desfase meses antes, lo que constituye otra limitación que debe indicarse.

Copiar, mover y otras sorpresas

Las operaciones normales producen patrones de marcas de tiempo que pueden inducir a error a un examinador desprevenido. Al copiar un archivo en Windows, normalmente se asigna a la copia un nuevo tiempo de creación y se conserva el tiempo de modificación original, por lo que la copia parece haberse modificado antes de crearse. Mover un archivo dentro del mismo volumen generalmente conserva sus marcas de tiempo. Extraer archivos de un archivo ZIP, descargarlos o sincronizarlos desde la nube puede establecer tiempos de formas que dependen del programa utilizado. Cuando una marca de tiempo parece imposible, la primera hipótesis debe ser una operación normal, que debe comprobarse antes de llegar a cualquier conclusión sobre una manipulación.

Construcción de una cronología

Una cronología sitúa los eventos de numerosas fuentes en una misma secuencia: marcas de tiempo del sistema de archivos, entradas del registro, registros de eventos, historial del navegador, registros telefónicos y registros de servidores. Herramientas gratuitas como Plaso (log2timeline) pueden extraer y combinar marcas de tiempo de numerosos artefactos. Para construir una cronología sólida:

1. Convierta todos los tiempos a UTC y corrija los desfases del reloj conocidos.
2. Conserve junto a cada evento su fuente y su resolución, ya que un tiempo de FAT con una resolución de 2 segundos y uno de ext4 con una resolución de nanosegundos no tienen la misma precisión.
3. Busque corroboración: un evento registrado por dos fuentes independientes es mucho más sólido que uno registrado mediante una sola marca de tiempo.

Un ejemplo resuelto

Una empresa afirma que se copió un archivo confidencial a una unidad USB el 14 de marzo. Las marcas de tiempo NTFS de la computadora portátil están en UTC; la unidad USB es FAT32 y almacena la hora local; la computadora portátil estaba configurada en UTC−03:00. La copia de la unidad USB muestra las 09:47:04, hora local, que equivalen a las 12:47:04 UTC. Los registros de la computadora portátil relativos al dispositivo USB y a la apertura del archivo muestran las 12:47:05 UTC. La diferencia de un segundo es coherente con la resolución de 2 segundos de FAT. El examinador presenta los eventos en UTC, explica la conversión y la resolución, y considera la coincidencia entre las dos fuentes independientes como corroboración.

Enfoque del examen: Sepa leer MACB, teniendo en cuenta que sus significados difieren según el sistema de archivos (ctime de Linux es el cambio de metadatos, no la creación), por qué los tiempos de acceso no son fiables y los principales formatos de almacenamiento: FILETIME de NTFS (intervalos de 100 nanosegundos desde 1601, UTC), hora local de FAT con una resolución de 2 segundos y segundos Unix desde 1970. Conozca los dos conjuntos de marcas de tiempo de NTFS y qué modifica el timestomping. Espere escenarios sobre la conversión de la hora local a UTC, el horario de verano, el desfase del reloj en el momento de la adquisición, los patrones de copia frente a los de movimiento y la corroboración de tiempos entre fuentes.