DFIR
Línea de tiempo forense
¿Cuándo pasó el ataque y qué tocaron?
Construye una línea de tiempo. Con find y newermt filtras todos los archivos modificados en una ventana de fechas: si sabes el día del incidente, ves exactamente qué se creó o cambió.
stat te da las marcas de tiempo exactas de un archivo. Y ordenar por fecha de cambio revela la secuencia del ataque.
La historia está en los tiempos; solo hay que leerla.
# los comandos
analyst@dfir:~# find / -newermt '2026-08-01' ! -newermt '2026-08-02' -type f 2>/dev/nullcopiar/tmp/.x
/var/www/html/shell.php
/etc/cron.d/backdoor
analyst@dfir:~# stat /var/www/html/shell.phpcopiarModify: 2026-08-01 03:14:07
Change: 2026-08-01 03:14:07
analyst@dfir:~# ls -lac --time=ctime /var/www/html/ | headcopiar-rw-r--r-- shell.php Aug 1 03:14
-rw-r--r-- index.php Jul 2 10:02