Forense de Windows: artefactos y línea de tiempo

Investigue incidentes en equipos Windows como analista DFIR: lea el sistema de archivos NTFS y la MFT como evidencia, interprete marcas de tiempo MACB y el USN Journal, reconstruya qué se ejecutó con Prefetch, Amcache y ShimCache, siga la persistencia en tareas programadas, claves Run y servicios, rastree la actividad del usuario en el registro, ShellBags, UserAssist y archivos LNK, y correlacione Event Logs y memoria con las herramientas de Eric Zimmerman y Volatility. Todo con un enfoque defensivo y legal, sobre VMs propias o imágenes de ejemplo. Requiere Introducción al análisis forense digital y Windows básico.

Lecciones: 18
Módulos: 5
Duración: 4 h 28 min
Inscritos: 0
Precio: Gratis
XP en juego: 350 XP

$ ./mapa --progreso

Cada nodo es una lección · [x] Completado · [ ] Disponible · [#] Requiere inscripción

# modulo_01 El sistema de archivos como evidencia

[ ] 01Bienvenida al cursoSiguiente
[ ] 02Dónde estamos: forense de Windows a nivel intermedio
[#] 03NTFS y la MFT: la tabla maestra de archivos
[#] 04Marcas de tiempo MACB y la manipulación de fechas
[#] 05Archivos borrados y el USN Journal
[#] 06Laboratorio: línea de tiempo del sistema de archivos

# modulo_02 Artefactos de ejecución y persistencia

[#] 07Qué se ejecutó: Prefetch, Amcache y ShimCache
[#] 08Persistencia: tareas programadas, claves Run y servicios
[#] 09Las herramientas de Eric Zimmerman
[#] 10Laboratorio: encontrar el programa malicioso ejecutado

# modulo_03 Registro de Windows y actividad del usuario

[#] 11El registro de Windows: hives y claves clave
[#] 12Actividad del usuario: ShellBags, UserAssist, LNK y Jump Lists
[#] 13Laboratorio: rastrear la actividad de un usuario sospechoso

# modulo_04 Eventos y memoria

[#] 14Event Logs clave: inicios de sesión, procesos y lateralidad
[#] 15Forense de memoria con Volatility a nivel intermedio
[#] 16Laboratorio: inicio de sesión remoto y proceso en memoria
[#] 17Conclusión y próximos pasos

# modulo_05 Evaluación

[#] 18Evaluación final

$ tree temario/ (vista de lista)

# modulo_01El sistema de archivos como evidencia

Bienvenida al cursoPreview5 min
Dónde estamos: forense de Windows a nivel intermedioPreview13 min
NTFS y la MFT: la tabla maestra de archivos15 min
Marcas de tiempo MACB y la manipulación de fechas14 min
Archivos borrados y el USN Journal14 min
Laboratorio: línea de tiempo del sistema de archivos22 min

# modulo_02Artefactos de ejecución y persistencia

Qué se ejecutó: Prefetch, Amcache y ShimCache15 min
Persistencia: tareas programadas, claves Run y servicios14 min
Las herramientas de Eric Zimmerman13 min
Laboratorio: encontrar el programa malicioso ejecutado22 min

# modulo_03Registro de Windows y actividad del usuario

El registro de Windows: hives y claves clave15 min
Actividad del usuario: ShellBags, UserAssist, LNK y Jump Lists15 min
Laboratorio: rastrear la actividad de un usuario sospechoso22 min

# modulo_04Eventos y memoria

Event Logs clave: inicios de sesión, procesos y lateralidad15 min
Forense de memoria con Volatility a nivel intermedio15 min
Laboratorio: inicio de sesión remoto y proceso en memoria22 min
Conclusión y próximos pasos7 min

# modulo_05Evaluación

Evaluación final10 min

cargando.sh···

$ cargando…

Forense de Windows: artefactos y línea de tiempo

Lecciones

Módulos

Duración

4 h 28 min

Inscritos

Precio

Gratis

XP en juego

350 XP