Curso de informática forense

Lección 1 • Marco legal y ético

Examina la autoridad legal, las consideraciones de privacidad y las obligaciones éticas que rigen las investigaciones. Asegura que los estudiantes operen dentro de los límites legales y profesionales.

Lección 2 • Tipos de evidencia digital

Categoriza la evidencia volátil, no volátil y basada en red y su importancia forense. Prepara a los estudiantes para reconocer los tipos de evidencia en los capítulos técnicos posteriores.

Lección 3 • El modelo de proceso investigativo

Introduce modelos de investigación estructurados y sus fases, desde la identificación hasta la presentación del informe. Proporciona un marco repetible que los estudiantes aplican a lo largo del curso.

Lección 1 • Medios y arquitectura de almacenamiento

Cubre las arquitecturas de discos duros, unidades de estado sólido, memoria flash y medios ópticos y sus implicaciones forenses. Conecta el conocimiento del hardware con las estrategias de adquisición de evidencia en capítulos posteriores.

Lección 2 • Codificación y representación de datos

Enseña la codificación binaria, hexadecimal, ASCII y Unicode aplicada a la interpretación de datos forenses. Los estudiantes decodifican bytes sin procesar para identificar artefactos de evidencia con precisión.

Lección 3 • Datos eliminados y espacio slack

Explica cómo funciona la eliminación a nivel del sistema de archivos y dónde persisten los datos residuales. Los estudiantes recuperan evidencia del espacio no asignado y las regiones slack.

Lección 1 • Gestión de la cadena de custodia

Establece protocolos de documentación, etiquetado y almacenamiento que preservan la integridad de la evidencia. Los estudiantes crean y mantienen registros de custodia que resisten el escrutinio legal.

Lección 2 • Principios de adquisición forense

Define el bloqueo de escritura, la creación de imágenes bit a bit y el hashing de verificación como principios fundamentales de adquisición. Establece los estándares de integridad que deben cumplir todas las tareas de adquisición posteriores.

Lección 3 • Adquisición de imágenes de disco y unidades

Cubre formatos de imagen como raw, E01 y AFF y las herramientas utilizadas para crearlos. Los estudiantes realizan adquisiciones de disco completas y dirigidas con integridad verificada.

Lección 4 • Adquisición de datos volátiles y en vivo

Aborda la captura de RAM, procesos en ejecución y estado de red desde sistemas en vivo. Prepara a los estudiantes para recolectar evidencia efímera antes de apagar el sistema.

Lección 1 • Artefactos de navegador y aplicación

Extrae el historial de navegación, archivos en caché, cookies y artefactos específicos de aplicaciones. Los estudiantes reconstruyen el comportamiento en línea del usuario y los patrones de uso de aplicaciones.

Lección 2 • Análisis forense del registro de Windows

Examina la estructura de los archivos del registro, las ubicaciones clave y los tipos de artefactos relevantes para las investigaciones. Los estudiantes extraen evidencia de actividad del usuario, ejecución de programas y conexión de dispositivos.

Lección 3 • Análisis de registros de eventos de Windows

Cubre los formatos de registro de eventos, los ID de eventos críticos y las técnicas de correlación de registros. Los estudiantes reconstruyen eventos de inicio de sesión, escalada de privilegios e incidentes de seguridad a partir de los registros.

Lección 4 • Análisis de memoria y paginación de Windows

Cubre el análisis del archivo de paginación, archivo de hibernación y volcado de memoria para sistemas Windows. Los estudiantes recuperan contraseñas, datos de procesos y conexiones de red de artefactos de memoria.

Lección 1 • Análisis y reconstrucción de protocolos

Cubre el análisis de protocolos TCP/IP, DNS, HTTP y de correo electrónico para la extracción de evidencia. Los estudiantes reconstruyen sesiones y comunicaciones a partir de capturas de paquetes sin procesar.

Lección 2 • Fundamentos de análisis forense de redes

Introduce las fuentes de evidencia de red, los puntos de captura y el valor forense de los datos de tráfico. Conecta los conceptos de red con el proceso investigativo más amplio establecido anteriormente.

Lección 3 • Línea de tiempo de red y atribución

Sintetiza la evidencia de red en líneas de tiempo y mapea la actividad a hosts o usuarios específicos. Los estudiantes producen informes de atribución respaldados por artefactos de red corroborados.

Lección 4 • Detección de intrusiones y análisis de registros

Examina los registros de firewall, IDS, proxy y DHCP en busca de indicadores de compromiso. Los estudiantes correlacionan fuentes de registro para identificar líneas de tiempo de ataque y hosts afectados.

Lección 1 • Análisis de artefactos de aplicaciones móviles

Examina las bases de datos de redes sociales, navegadores y aplicaciones de productividad en busca de evidencia de actividad del usuario. Los estudiantes extraen e interpretan artefactos específicos de aplicaciones para reconstruir el comportamiento del usuario.

Lección 2 • Análisis de datos de ubicación y sensores

Analiza registros de GPS, datos de ubicación Wi-Fi y registros de torres celulares para establecer el historial de ubicación del dispositivo. Los estudiantes mapean patrones de movimiento para respaldar las líneas de tiempo de la investigación.

Lección 3 • Arquitecturas de plataformas móviles

Compara las arquitecturas, sistemas de archivos y modelos de seguridad de iOS y Android relevantes para el análisis forense. Proporciona el conocimiento de la plataforma necesario para la extracción y el análisis dirigidos.

Lección 4 • Artefactos de comunicación y mensajería

Extrae datos de SMS, MMS, registros de llamadas y aplicaciones de mensajería de terceros de dispositivos móviles. Los estudiantes recuperan mensajes eliminados y reconstruyen líneas de tiempo de comunicación.

Lección 1 • Análisis estático de malware

Cubre el hashing de archivos, extracción de cadenas, análisis de encabezados PE y detección basada en firmas. Los estudiantes caracterizan el malware sin ejecutarlo para identificar de forma segura los indicadores de compromiso.

Lección 2 • Análisis dinámico de malware

Examina la ejecución en sandbox, el monitoreo de comportamiento y el tráfico de red generado por malware. Los estudiantes observan las acciones del malware en un entorno controlado para documentar sus capacidades.

Lección 3 • Documentación de artefactos de malware

Estructura los hallazgos de las investigaciones de malware en indicadores de compromiso e informes formales. Los estudiantes producen entregables utilizables tanto por equipos técnicos como por partes interesadas legales.

Lección 4 • Clasificación y comportamiento del malware

Categoriza los tipos de malware por comportamiento, mecanismo de persistencia y huella forense. Establece la taxonomía que los estudiantes utilizan al identificar artefactos de malware en las investigaciones.

Lección 1 • Gestión y cierre del expediente de caso

Cubre la organización del expediente de caso, la devolución o disposición de evidencia y los procesos de revisión posteriores al caso. Los estudiantes cierran las investigaciones de una manera que satisface los requisitos legales y organizacionales.

Lección 2 • Funciones y responsabilidades del perito

Define el rol del perito, los estándares de calificación y los deberes de imparcialidad. Los estudiantes comprenden sus obligaciones antes, durante y después de brindar un testimonio pericial.

Lección 3 • Técnicas de presentación de evidencia

Cubre ayudas visuales, líneas de tiempo y preparación de exhibiciones para presentar evidencia digital. Los estudiantes crean exhibiciones claras que respaldan las conclusiones de la investigación para audiencias diversas.

Lección 4 • Habilidades para el testimonio en sala

Prepara a los estudiantes para el interrogatorio directo, el contrainterrogatorio y el manejo de preguntas adversariales. Los estudiantes practican la entrega de un testimonio claro, sereno y creíble bajo presión.