Curso de Respuesta a Incidentes – Ciberseguridad nivel Experto
Tipo de estudiantes
Categoría del curso
Tutores
349,00€ IVA incluido
Descripción del Curso
Cuando ya han entrado. 150 horas de respuesta a un incidente real de principio a fin: ransomware sobre Directorio Activo con salto a Linux, con la metodología y el formato de informe pericial que entregamos a nuestros clientes.
Objetivos del Curso
Al terminar el curso será capaz de hacer esto, y de acreditarlo:
- Dirigir la respuesta a un incidente grave desde la primera alerta hasta el informe final, sabiendo en cada momento qué toca y quién decide.
- Construir una metodología propia apoyada en NIST SP 800-61 Rev. 3, ISO/IEC 27035 y MITRE ATT&CK, y aplicarla a casos que ningún procedimiento previsto contempla.
- Adquirir evidencia sin destruirla y sostener la cadena de custodia ante un auditor, una aseguradora o un juzgado.
- Investigar en Windows y en Linux, porque el adversario salta de uno a otro y quien solo mira uno cierra el caso con el intruso dentro.
- Cumplir los plazos legales reales de RGPD, LOPDGDD, ENS y NIS2, sabiendo qué se notifica, a quién y en cuántas horas.
- Redactar el informe técnico, ejecutivo y pericial con el formato que se entrega a un cliente y que aguanta la contradicción.
«Este curso enseña lo que hacemos cuando nos llaman. No es una introducción ni un recorrido por herramientas: capacita para dirigir la respuesta a un incidente grave de principio a fin, con el método, los plazos legales y el formato de informe pericial que entregamos a nuestros clientes.»
«Los procedimientos que se trabajan aquí son los mismos que recogimos en el libro Ciberseguridad: protocolos y procedimientos prácticos. El manual explica qué hacer antes, durante y después de cada incidente; este curso es la parte práctica de ese manual, ejecutada sobre un caso real de principio a fin.»
Juan M. · autor del curso y coautor del libro
Ciberseguridad: protocolos y procedimientos prácticos
Guía operativa ante los 19 incidentes más frecuentes en la empresa. Cuatrocientas páginas con la misma estructura en cada capítulo: qué hacer antes, qué hacer durante y qué hacer después.
No es teoría: es el procedimiento que aplicamos cuando nos llaman, alineado con el NIST Cybersecurity Framework 2.0 y con RGPD, NIS2, DORA, el ENS e ISO 27001. Sus capítulos de respuesta a incidentes son la base de este curso.
Juan M. y Fernando Romero Urdiain · FC Editorial — Fundación Confemetal · ISBN 978-84-10315-58-7
Estructura del curso en la plataforma de estudio
1. Introducción a la respuesta a incidentes
Antes de tocar un teclado hay que saber quién decide y qué se puede hacer. Este módulo evita el error que más caro sale: improvisar la cadena de mando a las tres de la mañana.
- Qué es un incidente y qué no lo es
- El ciclo de vida de la respuesta
- Roles, autoridad y decisiones bajo presión
2. Marcos de referencia
Trabajar con un marco reconocido es lo que distingue un informe que se sostiene ante un auditor de uno que es solo una opinión técnica.
- NIST SP 800-61 Rev. 3 y el Cybersecurity Framework 2.0
- ISO/IEC 27035, partes 1 a 4
- MITRE ATT&CK como lenguaje común
3. Marco legal y normativo
En un incidente grave el reloj legal corre a la vez que el técnico. Aquí aprende qué notificar, a quién y en cuántas horas, con la normativa española y europea en la mano.
- RGPD y LOPDGDD: plazos de notificación
- ENS y la guía CCN-STIC 817
- Estado real de la transposición de NIS2 en España
4. Telemetría en Windows y Directorio Activo
La mayoría de las empresas no detectan porque no registran. Este módulo deja el dominio preparado para que, cuando pase algo, haya rastro que seguir.
- Política de auditoría avanzada y registro de línea de comandos
- Sysmon: qué eventos importan y por qué
- Kerberos, tipos de inicio de sesión y eventos clave
5. Detección y SIEM
Escribirá reglas que detectan el ataque del caso real del curso, no ejemplos de manual, y sabrá distinguir una alerta útil del ruido que satura a los equipos.
- Reglas Sigma y su traducción a cada plataforma
- Wazuh: despliegue, reglas y casos de uso
- Qué detecta de verdad un caso de uso y qué es ruido
6. Análisis de logs y construcción del timeline
El timeline es el entregable que lo ordena todo y el que leerán la dirección y el abogado. Aquí aprende a construirlo con la fuente de cada línea acreditada.
- Normalización, UTC e ISO 8601
- Correlación entre fuentes
- Hayabusa, Chainsaw y Plaso
7. Análisis de phishing
Nueve de cada diez incidentes empiezan en un correo. Saber reconstruir el punto de entrada evita cerrar el caso dejando la puerta abierta.
- Cabeceras, SPF, DKIM y DMARC
- Análisis del adjunto y del vector de entrada
- Reconstrucción del punto de origen
8. Forense de disco y de memoria
La evidencia volátil se pierde al apagar. Aquí adquiere de forma defendible, con las herramientas que se usan en peritaje y la cadena de custodia que exige un juzgado.
- Adquisición con Wintriage y LinTriage
- Orden de volatilidad y cadena de custodia
- Volatility 3, TSK y la suite de Eric Zimmerman
9. Análisis de malware
Sin ejecutar nada peligroso, aprenderá a extraer indicadores y a escribir reglas YARA que detecten la amenaza sin disparar falsos positivos sobre su propio software.
- Análisis estático sin ejecutar nada
- Persistencia: servicios, tareas, registro y systemd
- Reglas YARA: escritura y validación
10. Análisis de red y exfiltración
La pregunta que decide si hay que notificar a la autoridad es cuántos datos salieron. Este módulo enseña a responderla con cifras y no con suposiciones.
- Zeek: conn, dns y ssl
- Detección de balizas y de túneles DNS
- Cuantificación del volumen exfiltrado
11. Investigación interna y exfiltración por personal propio
Es el encargo más frecuente en una empresa española: un comercial que se va a la competencia. Aquí aprende a investigarlo sin vulnerar derechos, que es donde se cae la mayoría de los casos.
- Legitimación: artículo 87 de la LOPDGDD
- USB, ShellBags, accesos directos y papelera
- Contenedores de evidencia y defensa de las conclusiones
12. Contención y erradicación
Contener mal destruye la evidencia o deja al adversario dentro. Este módulo fija qué se puede hacer de inmediato y qué exige autorización, decidido de antemano.
- Medidas preautorizadas y las que no lo están
- Erradicación completa: persistencias y credenciales
- Los errores que destruyen la evidencia
13. Recuperación del dominio
Restaurar en el orden equivocado es cómo se vuelve a cifrar una empresa el martes siguiente. Aquí aprende la secuencia correcta y por qué la identidad va primero.
- Orden de restauración: identidad antes que servicios
- Rotación de krbtgt y de cuentas de servicio
- Criterios de vuelta a producción
14. Respuesta a incidentes en entornos OT
En una fábrica, parar la línea cuesta miles de euros por hora y la decisión no es solo técnica. Un perfil capaz de responder en planta es escaso y se paga como tal.
- Modelo Purdue e IEC 62443
- Por qué se para una línea de producción
- Adquisición de evidencia sin alterar el proceso
15. Informe pericial y gestión de crisis
El trabajo no termina al entender lo ocurrido, sino cuando alguien que no es técnico toma una decisión con lo que usted ha escrito. Se corrige con el criterio de un entregable de cliente.
- Informe técnico, ejecutivo y pericial
- Qué se afirma, qué se acredita y qué queda como indicio
- Comunicación con dirección, aseguradora y regulador
16. Políticas de respuesta y de recuperación
Se lleva dos plantillas listas para adaptar en su empresa, y el criterio para auditar las que ya existen y encontrarles los huecos antes de que los encuentre un incidente.
- Política, plan, procedimiento y runbook
- Cómo se audita una política ajena
- RTO y RPO defendibles, y copias que sobreviven al adversario
Anexos incluidos
Material reutilizable en su trabajo desde el primer día, no solo durante el curso.
- Plantilla de Política de Respuesta ante Incidentes, rellenable
- Plantilla de Plan de Recuperación ante Desastres, rellenable
- Ambas resueltas sobre el caso del curso
- Guía de montaje del laboratorio y juego completo de artefactos
X. Examen final y caso práctico · Entrega del certificado JMSec
Un incidente distinto al del curso, con los artefactos entregados: no hace falta montar laboratorio para examinarse. Es la única prueba evaluable y el informe lo corrige un tutor con experiencia pericial.
- Caso práctico sobre un incidente distinto, con artefactos entregados
- Informe técnico, resumen ejecutivo y timeline con cadena de custodia
- Corrección personalizada y certificado de aprovechamiento verificable
Metodología
- Todo el material en PDF, descargable para estudiar sin conexión.
- Laboratorio propio: guía completa para montar las cuatro máquinas virtuales que reproducen la red de la empresa del caso. Se operan por fases, nunca las cuatro encendidas a la vez, de modo que basta un equipo con 16 GB de RAM y unos 230 GB de disco. Con 32 GB pueden mantenerse todas activas.
- Un ejercicio por módulo sobre las evidencias reales del incidente: registros de red, eventos de Windows y de Linux, el correo de phishing y la nota de rescate.
- Sin laboratorio para el examen: recibirá el juego de artefactos ya preparado, igual que un perito recibe una imagen y un encargo.
- Corrección personalizada del informe por un tutor con experiencia pericial, con comentarios sobre lo que entregue.
- Una única prueba evaluable: el examen práctico final. Cuatro horas, 100 puntos, mínimo 50 para superarlo.
- Certificado de aprovechamiento verificable mediante código y QR.
- Acceso durante 12 meses, ampliable en 3 meses para la práctica.
- Formación bonificable por FUNDAE: si lo paga su empresa, tramitamos la bonificación junto a nuestra entidad organizadora colaboradora.
