Solución — M10: Timeline unificada

1-2. Filtrando por EVTX

De los eventos EVTX dispersos a lo largo del día (inicios de sesión normales de ana, tipo 2, repartidos entre las 7:00 y las 23:00), hay un grupo de cinco eventos EVTX entre las 02:01:44 y las 02:31:05 del 14 de marzo — una franja de madrugada donde nadie suele trabajar, con tres fallos de login, un éxito por RDP y un borrado de log. Ese agrupamiento, tanto por horario atípico como por densidad temporal, es la ventana sospechosa.

3-4. La ventana filtrada

$ # filtro: datetime entre 2026-03-14 01:56:00 y 02:36:00
02:01:44  EVTX       4625 Logon failure - administrator - 203.0.113.44
02:02:05  EVTX       4625 Logon failure - administrator - 203.0.113.44
02:03:21  EVTX       4625 Logon failure - administrator - 203.0.113.44
02:04:17  EVTX       4624 Logon success - administrator - LogonType 10 - 203.0.113.44
02:04:19  EVTX       4672 Special privileges assigned - administrator
02:08:55  REGISTRY   Run key written - UpdaterService -> svc_update.exe
02:08:55  MFT        $FILE_NAME created - C:\Users\Public\svc_update.exe
02:09:12  PREFETCH   svc_update.exe executed (run count: 1)
02:09:41  PREFETCH   svc_update.exe executed (run count: 2)
02:09:50  TASKSCHED  Tarea 'WindowsUpdateCheck' registrada (oculta, SYSTEM)
02:31:05  EVTX       1102 Security log cleared - administrator

11 eventos, de 5 fuentes distintas (EVTX, REGISTRY, MFT, PREFETCH, TASKSCHED) — exactamente el tipo de corroboración cruzada entre fuentes independientes que se explicó en los módulos 4 y 10: ninguna fuente por separado cuenta la historia completa, pero juntas y ordenadas sí.

5. Estrategia usada

Primero, filtro por tipo de artefacto (solo EVTX) para detectar el agrupamiento anómalo sin el ruido del resto de fuentes. Después, ventana temporal (+/- 5 min alrededor de esa franja) para traer de vuelta todas las fuentes y ver el cuadro completo — exactamente las dos primeras estrategias del punto 6 del capítulo, combinadas en ese orden.