Bienvenida al curso

Bienvenido a Forense de Windows: artefactos y línea de tiempo. En casi todo incidente que llega a una empresa de Costa Rica, el equipo afectado corre Windows: la portátil de contabilidad, el servidor de archivos, la máquina del gerente. Este curso es para que usted, como analista DFIR, abra la imagen de ese equipo y reconstruya qué pasó, cuándo y con qué archivo, a partir de los rastros que Windows deja sin que el usuario lo sepa.

Qué va a lograr

• Leer el sistema de archivos NTFS y la MFT como una fuente de evidencia, no solo como un lugar donde viven archivos.
• Interpretar las marcas de tiempo MACB y detectar cuando alguien las manipuló.
• Reconstruir qué programas se ejecutaron con Prefetch, Amcache y ShimCache.
• Seguir la persistencia de un atacante en tareas programadas, claves Run y servicios.
• Rastrear la actividad de un usuario en el registro, las ShellBags, UserAssist y los archivos LNK.
• Correlacionar Event Logs y memoria con las herramientas de Eric Zimmerman y Volatility.
• Construir una línea de tiempo unificada que cruce todas esas fuentes.

Para quién es y qué necesita

Este curso es para analistas de SOC, administradores de sistemas y aspirantes a DFIR que ya conocen los fundamentos del forense y quieren especializarse en Windows. Conviene haber hecho Introducción al análisis forense digital (de ahí traemos cadena de custodia, hashes y orden de volatilidad) y Windows básico: CMD en 15 niveles (para moverse en la línea de comandos de Windows sin dudar).

Para practicar necesita:

• Una máquina virtual con Windows 10 u 11 donde usted sea administrador, para generar y recolectar sus propios artefactos.
• Las herramientas gratuitas de Eric Zimmerman y Volatility 3, que instalará cuando el curso lo indique.
• Un archivo de texto para la bitácora y unos 30 minutos por sesión.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. El sistema de archivos como evidencia	NTFS, la MFT, marcas de tiempo MACB, archivos borrados y el USN Journal	Línea de tiempo del sistema de archivos
2. Artefactos de ejecución y persistencia	Prefetch, Amcache, ShimCache, tareas, claves Run, servicios y las herramientas de Eric Zimmerman	Encontrar el programa malicioso ejecutado
3. Registro de Windows y actividad del usuario	Hives, claves clave, ShellBags, UserAssist, LNK y Jump Lists	Rastrear la actividad de un usuario sospechoso
4. Eventos y memoria	Event Logs clave, inicios de sesión, lateralidad y Volatility intermedio	Inicio de sesión remoto y proceso en memoria
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Cada herramienta nueva llega con una ficha: qué significa su nombre, su sintaxis, las opciones que de verdad usará, ejemplos con salida realista y los errores típicos. Al final de casi cada lección hay una pregunta rápida de repaso, y los laboratorios terminan con una misión verificable que usted mismo puede comprobar.

Lleve la bitácora desde la primera lección: hora, acción, herramienta, resultado. En un caso real es lo primero que pide legal. La evaluación final tiene 6 preguntas y se aprueba con 70 %; al aprobarla recibe el certificado, la insignia y la XP del curso.

Tiempo estimado

El curso completo toma unas cuatro horas y media. Le sugerimos una lección por día y cada laboratorio en una sola sentada, para no perder el hilo de la línea de tiempo que va construyendo.