Módulo: Ciber Inteligencia, Detección, Prevención y Respuesta de Incidentes (15 hrs.)
- 1. Inteligencia sobre el adversario y el entorno operacional
- 1.1. Panorama y dinámicas de los adversarios
- 1.2. Modelos para la comprensión del adversario aplicado a Incidentes
- 1.3. Ciclo moderno de intrusión basado en TTPs
- 1.4. Caso de estudio: Ransomware as a Service “RaaS”
- 2. Preparación operacional y arquitectura de respuesta (IR Readiness)
- 2.1. Visibilidad y telemetría crítica
- 2.2. Infraestructura y capacidades de respuesta
- 2.3. Readiness basado en el adversario
- 2.4. Hardening estratégico basado en comportamiento
- 3. Detección y análisis inicial basado en evidencia (TTP-Centric Detection)
- 3.1. Indicadores modernos y la pirámide del Dolor
- 3.2. Artefactos forenses
- 3.3. Detección común de actividades de un adversario
- 3.5. Detección enriquecida con inteligencia (F3EAD)
- 4. Análisis del incidente con metodologías actuales
- 4.1. F3EAD adaptado a entornos corporativos
- 4.2. Inteligencia táctica para decisiones operativas
- 4.3. Fusionando Forense + Logs + CTI
- 5. Contención de alto impacto (Smart Containment)
- 5.1. Estrategias de contención: Tácticas y Estrategias
- 5.2. Operaciones para descubrir al adversario
- 5.3. Riesgos críticos en la contención
- 5.4. Sesiones, privilegios y persistencias
- 5.5. Contención del C2 y segmentaciones
- 6. Erradicación y recuperación basadas en evidencia
- 6.1. Limpieza del entorno
- 6.2. Validación forense post-incidente
- 6.3. Modelos de recuperación segura
- 6.4. Threat Hunting post-incidente
- 7. Inteligencia post-incidente y resiliencia continua
- 7.1. Inteligencia estratégica
- 7.2. Perfilamiento del adversario
- 7.3. Gap analysis avanzado
- 7.4. Roadmap de Resiliencia 30/60/90
- 8. Práctica Integrada: Tabletop de Respuesta a Incidentes
- 8.1. Objetivo del Ejercicio
- 8.2. Escenario Operativo - “Operación Stark”
- 8.3. Fases del Ejercicio
- 8.3.1. Fase 1 – Identificación y Scoping (Find + Fix)
- 8.3.2. Fase 2 – Análisis del Adversario y Storyline (Analyze)
- 8.3.3. Fase 3 – Contención Inteligente (Finish)
- 8.3.4. Fase 4 – Erradicación, Recuperación y Resiliencia (Disseminate)
- 8.4. Entregables del Alumno
- 8.4.1. Línea de tiempo del incidente
- 8.4.2. Adversary Storyline
- 8.4.3. Decisiones justificadas
- 8.4.4. Gap analysis
- 8.4.5. Plan de mejora 30/60/90
- 9. Cyber Seguridad e Inteligencia de Amenazas
- 9.1. Panorama actual y nuevas necesidades
- 9.2. Diferencias entre Ciber Seguridad y Seguridad de la Información
- 9.3. Concepto de Ciber Seguridad
- 9.3.1. Panorama Actual Ciber Seguridad
- 10. Taxonomía de ciber ataques y niveles de amenaza
- 10.1. Actores de Amenaza y sus Motivaciones
- 10.1.1. Organizaciones Estado Nación
- 10.1.2. Ciber Delincuentes
- 10.2. Advanced Persistent Threat (APT)
- 11. Concepto de Inteligencia
- 11.1. Concepto de Inteligencia de Amenazas (Threat Intelligence)
- 11.2. Tipos de Inteligencia
- 11.3. Niveles de Ciberinteligencia
- 11.4. Otros conceptos de inteligencia de amenazas
- 12. Ciclo de vida de inteligencia
- 12.1. Planeación
- 12.2. Recolección
- 12.3. Procesamiento y Explotación
- 12.4. Análisis y Producción
- 12.5. Diseminación
- 13. Fuentes de Ciber inteligencia
- 13.1. Admiralty Code
- 13.2. Protocolo de semáforo (TLP - Traffic Light Protocol)
- 13.2.1. TLP: ROJO (TLP:RED)
- 13.2.2. TLP: AMBAR (TLP:AMBER)
- 13.2.3. TLP: VERDE (TLP:GREEN)
- 13.2.4. TLP:BLANCO (TLP:CLEAR)
- 13.3. Tácticas, Técnicas y Procedimientos
- 14. Ciclo de vida de un ataque y modelos de referencia
- 14.1. KillChain
- 14.2. Pirámide de dolor
- 14.3. ATT&CK
- 14.4. Cursos de acción (course of action)
- 15. Herramientas
- 16. Caso de uso: inteligencia de referencias cruzadas
- 17. Atribución
- 17.1. ¿Para qué sirve?
- 17.2. ¿Y para las entidades corporativas?
- 17.3. ¿Cómo atribuir?
- 18. Práctica de Evaluación
- 19. Conclusiones
