LecturaBienvenida al curso
La laptop de la contadora de Distribuidora Guayabo (empresa y caso inventados) abre ventanas negras que se cierran solas cada vez que enciende. Nadie instaló nada, dice ella. Usted abre PowerShell como administrador:
PS C:\> (Get-ScheduledTask -TaskName WinUpdateCheck).Actions | Select-Object Execute, Arguments
Execute Arguments
------- ---------
powershell.exe -w hidden -nop -enc JABjAD0ATgBlAHcALQBPAGIAagBlAGMAdAAgAE4AZQB0AC4AVwBlAGIA...Una tarea programada con nombre de actualización que lanza PowerShell oculto con un comando en Base64. Es una de las persistencias más comunes en Windows, y se encuentra con un cmdlet que ya viene instalado.
Bienvenido a PowerShell para ciberseguridad. Va a usar PowerShell como un analista defensivo: para hacer el triaje de un equipo en minutos, leer sus registros de eventos y escribir scripts que le avisan cuando algo cambió.
Qué va a lograr
- Explicar por qué PowerShell devuelve objetos y no texto, y encadenar cmdlets para filtrar y exportar a CSV y JSON.
- Hacer el triaje de un equipo: procesos con su padre, servicios, tareas, conexiones, autoruns y usuarios locales.
- Consultar eventos con
Get-WinEventy reconocer los 4624, 4625, 4688, 7045 y 4104. - Escribir funciones defensivas y un script de línea base que detecta cambios con hashes.
- Explicar por qué la directiva de ejecución no es un control de seguridad y cuáles sí lo son.
Para quién es y qué necesita
Es para gente de soporte, redes o SOC que ya se mueve en Windows y quiere dejar de revisar equipos a punta de clics. Conviene haber hecho Windows básico: CMD en 15 niveles. No hace falta saber programar; las funciones se construyen desde cero.
Necesita una VM con Windows 10, 11 o Server de evaluación gratuita y permiso de administrador en ella. Windows PowerShell 5.1 ya viene instalado y alcanza para todo el curso. Prefiera Windows 11: Windows 10 dejó de recibir parches el 14 de octubre de 2025, salvo en equipos inscritos en el programa pagado de actualizaciones extendidas (ESU).
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Objetos y pipeline | Qué es PowerShell, cmdlets, Get-Help, Get-Member, filtros y exportación | Explorar objetos y exportar evidencia |
| 2. Inventario y triaje del sistema | Procesos, servicios, tareas programadas, conexiones, registro, usuarios y grupos locales | Triaje de un equipo con persistencia plantada |
| 3. Registros de eventos | Get-WinEvent, FilterHashtable, eventos clave, auditoría y exportación | Generar e investigar sus propios eventos |
| 4. Scripts defensivos | Funciones, directiva de ejecución, hashes y Compare-Object, más la conclusión | Script de línea base y comparación |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
El módulo 1 parece lento y es el que más rinde. Quien aprende a preguntarle a Get-Member qué propiedades tiene un objeto después escribe filtros sin buscar en internet; quien se lo salta termina tratando la salida como texto, igual que en CMD.
El laboratorio del módulo 2 planta en su VM una tarea programada y una entrada en la clave Run, inofensivas, para que usted las encuentre; tome una instantánea antes. El del módulo 3 pide activar la auditoría de creación de procesos y el registro de bloques de script: sin eso, los eventos 4688 y 4104 no aparecen y parece que el comando está mal.
Use Tab para completar cmdlets y parámetros; además de ahorrar tiempo, le muestra cuáles existen. Al aprobar la evaluación final recibe el certificado y la insignia.
Tiempo estimado
Unas 5 horas, con cerca de hora y media de laboratorios. Haga cada laboratorio en una sola sesión y limpie lo que plantó el mismo día.