Una cronologia forense è la sequenza ordinata di eventi che gli investigatori costruiscono a partire da log, avvisi, metadati dei file, tracce di rete e orologi di sistema. Aiuta a rispondere a cosa è successo per primo, cosa è seguito e quali azioni erano collegate. Nella sicurezza informatica, questo è importante perché la risposta agli incidenti dipende dalla separazione tra causa ed effetto e dal confronto delle prove tra sistemi diversi.
Gli aggressori spesso cercano di indebolire le cronologie eliminando i log, alterando i timestamp o causando una deriva dell'orologio, il che può far apparire gli eventi fuori ordine o nascondere il vero punto di accesso. I difensori usano fonti di tempo sincronizzate, logging centralizzato e un'attenta correlazione per ricostruire una sequenza affidabile. Una cronologia forense solida trasforma registri sparsi in prove che possono supportare il rilevamento, il contenimento e l'analisi post-incidente.