Bir olayın gerçekte nasıl geliştiği, tek bir kaynağa bakarak neredeyse hiçbir zaman anlaşılamaz. Güvenlik duvarı kaydı bağlantıyı, uç nokta günlüğü çalışan süreci, kimlik sağlayıcı oturum açmayı gösterir; anlam ancak bu parçalar aynı zaman ekseninde birleştirildiğinde ortaya çıkar. Bu atölye, dağınık kayıtları tutarlı ve savunulabilir bir olay anlatısına dönüştürmenin yöntemini konu alır. Dört modül boyunca katılımcılar önce log kaynaklarını, format farklarını ve saat dilimi tuzaklarını inceler. Ardından normalizasyon, alan eşleme ve zenginleştirme uygulanır; farklı kaynaklardan gelen kayıtlar ortak bir şemaya taşınır. Korelasyon kuralları yazılır, kimlik ve varlık bazlı gruplama yapılır. Son modülde süper zaman çizelgesi oluşturulur, gürültü azaltılır ve bulgular anlatıya dönüştürülür. Katılımcı; kurumu için hazırladığı log kaynak envanteri ve zaman çizelgesi çalışma yöntemiyle atölyeyi tamamlar.