Bienvenida al curso

Bienvenido a Análisis de phishing y seguridad del correo. En casi cualquier SOC, el buzón de "correos reportados" es lo primero que se le asigna a una persona nueva, y la pregunta que más llega a la mesa de ayuda es la misma: "¿esto es real?". Este curso le enseña a contestarla sin abrir el correo: leyendo cabeceras, comprobando SPF, DKIM y DMARC y revisando enlaces y adjuntos con herramientas que no ejecutan nada. También cubre el lado de la organización: proteger el dominio con DMARC y responder cuando el phishing ya llegó a cuarenta bandejas.

Si ya hizo la píldora Análisis de phishing en 40 minutos, aquí encontrará la versión completa, con más práctica y la parte de respuesta organizacional.

Qué va a lograr

• Explicar qué es el phishing, sus variantes y por qué SMTP permite suplantar remitentes.
• Reconstruir la ruta de un correo leyendo Received, Return-Path, Reply-To y Message-ID.
• Interpretar SPF, DKIM y DMARC, consultarlos con dig o nslookup y planificar DMARC hasta p=reject.
• Analizar enlaces y adjuntos sin abrirlos con curl, file, sha256sum, exiftool y olevba.
• Consultar reputación sin regalar a terceros información de su organización.
• Contener un incidente: purgar el correo, bloquear indicadores, proteger cuentas y medir la respuesta.

Para quién es y qué necesita

Para personas de mesa de ayuda, analistas que empiezan en un SOC, administradores de correo y cualquiera que quiera dar el primer paso en defensa. No necesita experiencia previa en correo ni en programación. Conviene haber hecho Introducción a la ciberseguridad; si nunca ha usado una terminal, la píldora La terminal sin miedo le ayuda con los comandos.

Para practicar necesita:

• Un editor de texto plano (Bloc de notas, gedit o VS Code).
• Una máquina virtual Linux de análisis, por ejemplo Ubuntu, para los comandos de adjuntos y enlaces. La píldora Su primera máquina virtual en 40 minutos lo guía si no tiene una.
• PowerShell en Windows, de forma opcional, para los ejemplos equivalentes.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Cómo viaja un correo	Qué es el phishing, SMTP y sus comandos, las cabeceras clave	Reconstruir la ruta de un .eml ficticio
2. Autenticación del correo	SPF, DKIM, DMARC, Authentication-Results, dig y nslookup	Revisar los registros DNS de ejemplo.cr
3. Analizar sin abrir	Enlaces y curl, adjuntos con file, hashes, exiftool, olevba y pdfid, reputación y whois	Triaje de cinco correos sospechosos
4. Responder y prevenir	Buzón de reporte, purga con PowerShell, bloqueo de indicadores, métricas y conclusión	Ficha de incidente y aviso a los empleados
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Cada comando o herramienta empieza con una ficha: nombre, sintaxis, opciones y errores frecuentes. Casi todas las lecciones cierran con una pregunta corta. Los laboratorios trabajan con correos .eml, registros DNS y casos ficticios, y traen la solución al final.

En los laboratorios, lleve una lista de indicadores en un documento aparte: remitente, dominio, IP, hash, URL desarmada. En el trabajo, esa lista es lo que recibe quien bloquea y purga; el error de quien empieza es tenerla en una pestaña que se cierra.

Al aprobar la evaluación final recibe el certificado y la insignia del curso.

Tiempo estimado

El curso completo toma unas 5 horas. Las lecciones caben en sesiones cortas; cada laboratorio pide una sesión sin interrupciones de unos 30 minutos.