Antes de escribir cualquier hallazgo, preguntate primero a qué activo se refiere: puede ser una notebook, un servidor, una VM, un router, una aplicación o un recurso en la nube. Confundir la alerta con el activo es el primer error de cualquier investigación — la alerta apunta a algo, pero ese algo es lo que hay que describir. Su hostname, IP, función, propietario y segmento delimitan el alcance, pero no son sinónimos entre sí: una IP cambia, un host puede tener varias IP y una aplicación puede vivir en varios equipos a la vez.

Ejemplo: LAP-FIN-042 es el activo; su IP 10.20.40.42 es una dirección observada; el usuario l.ferrer es una identidad relacionada y el evento 4624 es una señal. Registrá los cuatro por separado antes de concluir.

En inglés técnico: Se dice simplemente asset — vas a verlo así en cualquier reporte real ("asset inventory", "critical asset").

"El usuario X hizo esto" es una afirmación más débil de lo que parece: una cuenta puede ser de una persona, de un servicio o de una tarea automática, y no siempre demuestra que alguien estuviera frente al equipo. Antes de atribuir una acción a alguien, hay que contrastar la cuenta con el equipo, la sesión, el método de autenticación y la hora.

Ejemplo: Compará la cuenta con el equipo, la sesión, el método de autenticación y la hora antes de atribuir una acción. En la práctica de esta clase vas a usar este dato para “Redactar una nota inicial que otra persona pueda verificar”. Anotá qué observaste y qué información todavía necesitarías confirmar antes de concluir.

En inglés técnico: account e identity son los términos en inglés — "identity" es el que más vas a ver en "identity and access management" (IAM).

Que un equipo esté lento, un login falle o aparezca una conexión inesperada es un síntoma: algo cambió y merece mirarse. Pero un síntoma todavía no es una causa, y confundir los dos es lo que lleva a "arreglar" lo que se ve en vez de investigar lo que realmente pasó.

Ejemplo: un equipo con CPU alta tiene un síntoma. Para comprenderlo hay que relacionar el valor con el proceso, el intervalo y el comportamiento normal del equipo.

En inglés técnico: Se dice symptom o indicator en inglés — "indicator" es el que vas a ver en threat intelligence (IOC = Indicator of Compromise).

Dos eventos que parecen simultáneos pueden no serlo si sus relojes no coinciden: un timestamp es la fecha y hora asociada a un dato, y sirve para ordenar hechos solo si registrás también la zona horaria y la fuente. Ordenar mal dos eventos por ignorar la zona horaria invalida una timeline entera.

Ejemplo: Registrá la zona horaria y la fuente antes de decidir cuál de dos eventos ocurrió primero. En la práctica de esta clase vas a usar este dato para “Redactar una nota inicial que otra persona pueda verificar”. Anotá qué observaste y qué información todavía necesitarías confirmar antes de concluir.

En inglés técnico: timestamp es el término en inglés — se usa igual en español técnico, casi nunca traducido.