Cada borrado deja otro rastro:
así es GhostForensics, el curso gratuito de análisis forense digital de Ghost Academy
Formación y entrenamiento | unfantasmaenelsistema.com
Cuando un atacante entra en un sistema, casi siempre intenta salir sin dejar huella: borra registros, renombra binarios, retoca fechas o cifra su tráfico. Y casi siempre falla en algo, porque cada una de esas acciones deja a su vez un rastro distinto en otro sitio: en el disco, en la memoria, en la red o en los logs de la nube. El análisis forense digital consiste precisamente en encontrar esos rastros, ponerlos en orden y demostrar con ellos qué pasó.
Ghost Academy acaba de publicar GhostForensics, un curso gratuito de forense digital y respuesta a incidentes (DFIR) de 21 capítulos, con 17 casos prácticos descargables y su propio simulador web, GhostForensics Lab. Este artículo presenta ambas piezas: cómo está planteado el curso, qué se aprende en cada fase y qué aporta el laboratorio.
Qué vas a encontrar en este artículo
Por qué todo el curso sigue un único caso de principio a fin · Las herramientas reales y gratuitas que se usan · Los 21 capítulos en cuatro fases · Los 17 paquetes de evidencia descargables y verificables por hash · El caso final y el informe pericial · Qué es GhostForensics Lab y cómo se usa entre capítulo y capítulo · El aviso que el propio curso pone por delante
1. Un solo incidente, investigado capítulo a capítulo
La mayoría de cursos de forense enseñan cada técnica con un ejemplo aislado: un volcado de memoria por aquí, una captura de red por allá. GhostForensics hace lo contrario. Sus capítulos técnicos siguen un único caso narrativo: el mismo atacante, la misma máquina y la misma infraestructura, que se van descubriendo poco a poco a medida que se analiza cada tipo de evidencia.
Lo que aparece como un proceso sospechoso en el análisis de memoria vuelve a salir en el registro de Windows, en la línea de tiempo, en las conexiones de red y, finalmente, en los logs de un servicio en la nube. Esa es la lección central del forense real: una sola evidencia rara vez prueba nada; lo que convence es que varias fuentes independientes cuenten la misma historia.
2. Herramientas reales y gratuitas
Todo el curso se trabaja con herramientas de código abierto o gratuitas de uso habitual en la profesión, nunca con productos de pago: Volatility3 para memoria RAM, Wireshark y tshark para red, Autopsy y The Sleuth Kit para disco, las Eric Zimmerman Tools para artefactos de Windows, log2timeline/plaso para líneas de tiempo, KAPE para el triage, YARA para malware y Wazuh para correlación. Lo que se aprende es directamente aplicable en un puesto de analista o en la preparación de una certificación.
3. Veintiún capítulos en cuatro fases
| Fase | Capítulos | Contenido |
|---|---|---|
| Fundamentos | 01–04 | Metodología y cadena de custodia, preparación del entorno y adquisición de imágenes, sistemas de archivos y recuperación de datos borrados, artefactos del sistema operativo |
| Forense de sistemas | 05–10 | Windows (registro, Prefetch, Shimcache, Amcache, Event Logs, tareas programadas y persistencia), Linux, memoria RAM (adquisición, procesos maliciosos, inyección de código y rootkits) y reconstrucción de la línea de tiempo |
| Red, malware y nube | 11–16 | Captura y análisis de tráfico, C2, exfiltración y DNS tunneling, análisis de malware estático y dinámico, forense móvil y forense en la nube |
| Respuesta e informe | 17–20 | Triage y contención en vivo, correlación de logs y threat hunting, técnicas anti-forense y cómo detectarlas, y un caso completo que termina en informe pericial |
| Bonus | 21 | Cómo acelerar el flujo de trabajo con las herramientas Ghost (opcional, no necesario para completar el curso) |
4. Diecisiete casos prácticos con evidencia de verdad
Cada capítulo con parte práctica entrega un paquete de evidencia descargable, con su hash SHA-256 para verificar la integridad antes de empezar (lo primero que enseña el capítulo de adquisición), un documento con el contexto y las preguntas a responder, y una solución paso a paso aparte. Siempre que ha sido posible, la evidencia es real y se abre con la herramienta real:
- Imágenes de disco con ficheros borrados que se recuperan de verdad con The Sleuth Kit.
- Capturas de red que se abren en Wireshark, con un beaconing a intervalos regulares y un túnel DNS por descubrir.
- Un ejecutable de Windows inofensivo preparado para el análisis estático, que una regla YARA detecta igual que detectaría el malware real.
- Una base de datos de un móvil, logs de CloudTrail en formato real de AWS, logs de Linux y tareas programadas de Windows.
- Una imagen con un mensaje oculto por esteganografía en el capítulo de anti-forense.
Donde fabricar el binario original no era razonable (un volcado completo de memoria o un fichero EVTX), el paquete trae la salida ya procesada por la herramienta correspondiente, exactamente como la vería un analista. Y como todos los casos pertenecen al mismo incidente, se pueden resolver uno detrás de otro como una investigación continua.
5. El examen final: un caso nuevo y un informe pericial
El capítulo 20 cambia de historia a propósito: un incidente nuevo, con su propia imagen de disco, su captura de red y sus logs en la nube, y esta vez sin guía. El objetivo ya no es responder preguntas, sino hacer lo que se le pide a un perito: reconstruir lo ocurrido, sostenerlo con evidencias cruzadas y redactar el informe. La solución tampoco es un paso a paso, sino un informe pericial de ejemplo completo con el que comparar el propio trabajo.
6. GhostForensics Lab: practicar sin instalar nada
Montar un laboratorio forense completo lleva tiempo: máquinas virtuales, herramientas, volcados de varios gigas. Para practicar entre un capítulo y el siguiente, el curso tiene su propio simulador web gratuito, GhostForensics Lab, que funciona entero en el navegador y reproduce el mismo caso narrativo del curso:
- Super-timeline interactiva: los eventos del incidente en carriles por tipo de artefacto (disco, registro, Prefetch, Event Logs, red y nube), con zoom, selección de intervalos y filtros por fase del ataque y severidad.
- Visores de registro de Windows y de Event Logs, con filtrado por identificador de evento y la vista XML original.
- Memoria RAM al estilo Volatility3: árbol de procesos, regiones de memoria sospechosas, volcado hexadecimal y coincidencia con una regla YARA.
- Red y C2: tabla de conexiones, detector de beaconing por intervalos y decodificación de un túnel DNS.
- Forense cloud: los eventos de CloudTrail que cierran el incidente en AWS.
- Modo Caso: una investigación guiada con preguntas periciales progresivas, puntuación y la reconstrucción final de la cadena de ataque, más un generador de informe, un buscador global y un glosario.
El propio Lab lo deja claro: no sustituye a las herramientas reales que enseña el curso. Es el sitio donde entrenar el razonamiento —correlacionar fuentes, ordenar eventos, sacar conclusiones— desde cualquier dispositivo, antes de enfrentarse a la evidencia real de los paquetes descargables.
⚠ Antes de empezar
Toda la evidencia del curso es sintética, generada para los propios ejercicios. GhostForensics no es un peritaje judicial ni sustituye la intervención de un perito certificado en un caso real. Analiza solo las evidencias del curso, equipos propios o sistemas para los que tengas autorización expresa por escrito.
🔬 GhostForensics
21 capítulos, 17 casos prácticos con evidencia descargable, herramientas 100% gratuitas y un laboratorio interactivo en el navegador. Todo gratis en Ghost Academy.
Entrar al curso → Abrir GhostForensics Lab →Código abierto (MIT) del Lab en GitHub
Conclusión
El forense digital tiene fama de disciplina árida: mucha herramienta, mucho formato de fichero y poca historia. GhostForensics apuesta por lo contrario: un solo incidente que se va desvelando capítulo a capítulo, evidencia que se puede abrir con las herramientas de verdad y un final que obliga a hacer lo que hace un perito: demostrar, no suponer.
Con GhostForensics Lab para practicar desde el navegador y los paquetes de evidencia para trabajar como en un caso real, el curso cubre el recorrido completo: de la escena del incidente al informe pericial. Y deja una idea que sirve para todo lo demás en seguridad: cada intento de borrar un rastro deja otro distinto; solo hay que saber dónde mirar.
unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)