Bienvenida al curso

Bienvenido a Introducción al análisis forense digital. Casi todo incidente termina en la misma reunión: alguien de la gerencia pregunta "¿qué pasó?" y alguien de legal pregunta "¿cómo lo sabemos?". Este curso es para que usted pueda contestar la segunda pregunta con un hash, una línea de tiempo y una bitácora, y no con un "me parece". Sirve igual al analista de SOC que a quien atiende un ransomware un sábado en una pyme de Cartago.

Qué va a lograr

• Explicar qué es DFIR y por qué la evidencia se trata con tanto cuidado.
• Preservar evidencia con hashes, cadena de custodia y el orden de volatilidad.
• Crear y verificar una imagen forense con dd y sha256sum, y analizarla con Sleuth Kit.
• Leer timestamps MAC, metadatos y los artefactos de Windows y Linux que más se consultan.
• Construir una línea de tiempo en UTC que cruce varias fuentes.
• Redactar un informe forense que separe hechos de inferencias y diga qué no se pudo comprobar.

Para quién es y qué necesita

Para quien empieza en defensa, para administradores de sistemas y para analistas que quieren pasar de "alerta recibida" a "caso explicado". No necesita experiencia en forense. Sí necesita moverse en la terminal sin miedo: si nunca la ha usado, haga antes Linux básico: 15 comandos para empezar.

Para practicar necesita:

• Una máquina virtual Linux (Ubuntu o Debian) donde pueda usar sudo. Si nunca ha creado una, la píldora Su primera máquina virtual en 40 minutos lo guía.
• Internet para instalar paquetes libres como Sleuth Kit y exiftool.
• Un archivo de texto para la bitácora.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Qué es DFIR	Principios forenses, cadena de custodia, orden de volatilidad y hashes	Hashes y cadena de custodia de su propia evidencia
2. Forense de disco y archivos	Imágenes con dd, sistemas de archivos, timestamps MAC, archivos borrados, Sleuth Kit y Autopsy	Crear y analizar una imagen con Sleuth Kit
3. Artefactos de Windows y Linux	Registro, prefetch, event logs, journalctl, last y Volatility a nivel conceptual	Reconstruir la actividad de su VM Linux
4. Línea de tiempo e informe	Timelines con mactime, correlación, informe forense y conclusión	Timeline y mini informe de un incidente
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Cada herramienta llega con una ficha: nombre, sintaxis, opciones que de verdad usará y errores típicos. Cada lección cierra con una pregunta corta. Los laboratorios terminan casi siempre con un sha256sum -c que debe devolver OK; si no, algo cambió en la evidencia y hay que entender qué antes de avanzar.

Abra la bitácora hoy, no en el laboratorio 1: hora, comando, resultado, una línea por acción. En un caso real es lo primero que pide un perito, y quien no la llevó termina reconstruyendo de memoria lo que hizo tres días antes. Escriba los comandos a mano; el No such file or directory de un error de tipeo también enseña.

La evaluación final tiene 6 preguntas y se aprueba con 70 %; al aprobarla recibe el certificado, la insignia y la XP del curso.

Tiempo estimado

El curso completo toma unas 4 horas y media. Haga cada laboratorio en una sola sentada: cortar una adquisición a la mitad y retomarla al día siguiente es la forma más rápida de romper la cadena de custodia.