Academia Ciber
Entrar

Inicio / Cursos / Análisis forense digital en Windows (DFIR)

Análisis forense digital en Windows (DFIR)

Recupera las pruebas que deja un ataque en Windows y reconstruye paso a paso todo lo que pasó.

  • Dificultad: Intermedio
  • 1 módulo
  • 0 lecciones
  • Material descargable
  • Certificado de finalización
Curso en construcción. Estoy grabando el resto de lecciones. Quedan 1 módulo por publicar.

Qué vas a aprender

Saber que una alerta es real es solo el principio. Después alguien tiene que entrar en el equipo, recoger las pruebas antes de que desaparezcan y contestar las preguntas que importan: qué ha pasado, desde cuándo, cómo entró, hasta dónde ha llegado y si sigue dentro. Este curso te enseña a hacerlo en Windows, paso a paso.

Qué vas a investigar

El equipo encendidoProcesos, conexiones y todo lo que arranca solo, con Sysinternals
La memoriaProcesos ocultos, código inyectado y conexiones, con Volatility 3
Los registros de eventosDe los .evtx a una tabla y a alertas Sigma con Hayabusa
Qué se ejecutóPrefetch, Amcache, Shimcache, BAM y SRUM, aunque el atacante borrara su herramienta
El discoLa $MFT, el diario de cambios de NTFS, las fechas falsificadas, los accesos directos y la papelera
El registro de WindowsPersistencia, lo que hizo el usuario y los USB que se conectaron
El movimiento lateralRDP, PsExec, WMI y el robo de credenciales

Cada módulo trabaja sobre pruebas de Windows de verdad, sacadas de equipos de laboratorio con días de trabajo normal y un ataque completo.

Qué sabrás hacer al terminar

  • Hacer el triaje de un equipo encendido sin estropear las pruebas.
  • Volcar la memoria y recoger los artefactos clave con su cadena de custodia.
  • Demostrar qué se ejecutó, cuándo y quién lo hizo, con varios artefactos que se confirman entre sí.
  • Seguir al atacante de un equipo a otro.
  • Construir la línea de tiempo del incidente y escribir el informe.

Cómo es

  • 46 lecciones cortas, unas 5 horas de vídeo.
  • Cada módulo acaba con un reto con respuestas exactas (un hash, un PID, una hora) que la web corrige al momento.
  • Caso final: un ransomware en tres equipos de la empresa, de la entrada al cifrado.
  • Herramientas gratuitas: Sysinternals, EZ Tools de Eric Zimmerman, Hayabusa, Volatility 3, Velociraptor y SigmaLens.

Para quién es

Para quien ha terminado Iniciación como Analista SOC o ya trabaja de analista de nivel 1 y quiere dar el salto a nivel 2 o a respuesta a incidentes. Necesitas saber leer eventos de Windows y un PC con Windows para algunas herramientas; Volatility y las herramientas de línea de comandos funcionan también en Mac y Linux.

Certificado

Al terminar recibes un certificado de finalización de Academia Ciber, con un código para comprobarlo en la web.

No es una titulación oficial ni acreditada.

Sobre los datos

Los casos ocurren en Orvia Logística, la empresa inventada del curso de Analista SOC. Las pruebas salen de equipos de laboratorio, no de personas ni empresas reales.

Empieza gratis con el módulo de bienvenida y el triaje de un equipo infectado (lección 1.5).

Conocimientos previos

  • Haber hecho «Iniciación como Analista SOC» o tener una base parecida
  • Manejar Windows con soltura: carpetas, programas, Administrador de tareas
  • Saber qué son los registros de eventos de Windows y haber revisado alguno
  • Usar una terminal (PowerShell o CMD) para comandos básicos

Temario

1 módulo · 0 lecciones

Módulo 1En grabación

Preguntas

¿Necesito saber algo antes?
No. Los cursos empiezan desde cero y en cada lección te dicen qué necesitas. Solo hace falta un ordenador con navegador.
¿El certificado es oficial?
No. Es un certificado de finalización, con un código para que cualquiera compruebe que es tuyo.
¿Cuánto tiempo tengo acceso?
Si compras el curso, para siempre, con todas sus actualizaciones. Con la suscripción, mientras esté activa.
¿Y si no me convence?
Pides la devolución desde tu cuenta en los 14 días siguientes a la compra, si has visto menos del 20 % del curso. Ver la garantía.