Curso de OSINT y Ciberinteligencia: ruta de analista online

• Entender qué es el OSINT y cómo es su ciclo de inteligencia
• Investigar con metodología cuidando tu propia exposición (OPSEC)
• Conocer los filtros de Shodan y los operadores de Google Dorks, y los límites éticos de usarlos
• Leer los metadatos EXIF de una imagen para razonar su lugar y fecha, y saber por qué una IP no da una ubicación exacta
• Tratar con ética los datos de leaks y brechas

Herramientas y fuentes: dig y ExifTool, con terminales de ejemplo. Se presentan Shodan, Google Dorks, crt.sh, Subfinder y Amass, Maltego, Sherlock y WhatsMyName, y Have I Been Pwned

Principiante · 30 minutos · 25 diapositivas · 5 con terminal de práctica · examen de 10 preguntas

• Recorrer las cinco fases del ciclo de inteligencia y convertir un encargo en preguntas concretas
• Valorar por separado la fiabilidad de la fuente y la credibilidad del dato, y distinguir hechos, inferencias y juicios
• Documentar una investigación con cuaderno, capturas, hash y cadena de custodia
• Conocer los límites legales y éticos de la investigación con fuentes abiertas en España y la UE

Herramientas y fuentes: Cuaderno de investigación (hoja de cálculo o documento), capturas de pantalla y sha256sum, siempre con ejemplos ficticios

Principiante · 1 hora · 28 diapositivas · 3 con terminal de práctica · examen de 15 preguntas

• Entender cómo un buscador rastrea, indexa y ordena, y qué queda fuera de sus resultados
• Combinar operadores de búsqueda y documentar cada consulta para poder repetirla
• Consultar archivos web y registros públicos (BOE, BORME, Registro Mercantil, marcas y patentes, contratación) distinguiendo lo abierto de lo que exige interés legítimo
• Conocer los límites legales y de uso: datos personales, acceso indebido, condiciones de uso y derechos de autor

Herramientas y fuentes: Buscadores generalistas (Google, Bing, DuckDuckGo), Wayback Machine, BOE y BORME, buscadores de marcas y patentes y la terminal (curl, grep), siempre con ejemplos y dominios ficticios

Principiante · 1 hora · 28 diapositivas · 4 con terminal de práctica · examen de 15 preguntas

• Leer un registro de dominio con RDAP: fechas, estados y servidores de nombres
• Interpretar DNS, CDN, DNS pasivo y Certificate Transparency sin tocar al objetivo
• Entender qué muestran buscadores de dispositivos como Shodan y Censys, qué datos recogen y cuáles son sus límites legales
• Inventariar la superficie expuesta de una organización y reducir la huella propia

Herramientas y fuentes: RDAP y WHOIS, DNS con dig y nslookup y buscadores de Certificate Transparency. Shodan y Censys se explican sin consultas de ejemplo. Siempre sobre activos propios, de laboratorio o con permiso, y con ejemplos ficticios

Medio · 1 hora · 29 diapositivas · 5 con terminal de práctica · examen de 15 preguntas

• Distinguir qué puede investigarse sobre una organización y qué no sobre una persona, con el RGPD, el Código Penal y los términos de las plataformas como límites
• Analizar una cuenta separando hechos de valoraciones y cruzar identidades con pistas independientes y grados de confianza
• Reconocer indicios de perfiles falsos, cuentas automatizadas y redes coordinadas sin acusar sin pruebas
• Preservar evidencias con captura, fecha y huella de integridad, y minimizar y proteger los datos recogidos

Herramientas y fuentes: Navegador, captura de pantalla, sha256sum, Wayback Machine (Save Page Now) y la herramienta de búsqueda por alias Sherlock como ejemplo, siempre sobre cuentas propias, de organizaciones con permiso o ficticias

Medio · 1 hora · 29 diapositivas · 4 con terminal de práctica · examen de 15 preguntas

• Leer e interpretar los metadatos EXIF de una imagen (coordenadas, fecha, zona horaria y dirección) y conocer lo que no prueban
• Geolocalizar un contenido a partir de pistas visuales con OpenStreetMap, imágenes de satélite y ortofotos abiertas
• Cronolocalizar con la posición del sol, las sombras, el clima y las imágenes históricas
• Verificar una ubicación declarada, documentarla con un grado de confianza y respetar los límites legales y éticos

Herramientas y fuentes: ExifTool, OpenStreetMap con Overpass Turbo, Copernicus Browser, ortofotos del PNOA, SunCalc y el Shadow Finder de Bellingcat, siempre con fotos propias, material publicado para practicar o casos ficticios

Medio · 1 hora · 29 diapositivas · 4 con terminal de práctica · examen de 15 preguntas

• Distinguir misinformation, disinformation y malinformation, y separar verificar un contenido, comprobar una afirmación y analizar una campaña
• Trazar el origen de una imagen o un vídeo con búsqueda inversa, fotogramas, metadatos y archivos web
• Interpretar procedencia (C2PA), indicios de manipulación y detectores de contenido sintético conociendo sus límites
• Analizar campañas coordinadas con marcos como ABC y DISARM, sin atribuir ni acusar sin evidencia, y conocer el marco legal aplicable

Herramientas y fuentes: Búsqueda inversa de imágenes (Google, Bing, Yandex, TinEye), extensión InVID-WeVerify, ffmpeg, ExifTool y ffprobe. La procedencia C2PA y Content Credentials se describe como especificación, sin una herramienta de lectura, siempre con contenidos propios, publicados para practicar o ficticios

Medio · 1 hora · 29 diapositivas · 4 con terminal de práctica · examen de 15 preguntas

• Distinguir los niveles de la CTI y formular requisitos de inteligencia concretos
• Entender cómo se lee un informe público, se extraen sus indicadores y se mapean a MITRE ATT&CK, con un caso final
• Valorar feeds y fuentes abiertas (MISP, abuse.ch, CISA KEV, EPSS) y priorizar con criterio
• Compartir y manejar indicadores con TLP, atribución prudente y sin tocar la infraestructura del atacante

Herramientas y fuentes: MITRE ATT&CK y ATT&CK Navigator, MISP, catálogo KEV de CISA, abuse.ch, CyberChef y los estándares STIX/TAXII y TLP, siempre con datos de ejemplo ficticios

Medio · 1 hora · 29 diapositivas · 4 con terminal de práctica · examen de 15 preguntas

• Preservar un mensaje sospechoso como evidencia y leer sus cabeceras y resultados SPF, DKIM y DMARC
• Analizar URL y dominios parecidos con registros públicos, sin visitar la página ni contactar con el atacante
• Reconocer el fraude a empresas (BEC y fraude del CEO) y los controles que lo frenan
• Agrupar indicadores, pedir la retirada de contenido y conocer los canales de ayuda y denuncia en España

Herramientas y fuentes: Cabeceras de correo, RDAP, registros de Certificate Transparency, dnstwist sobre dominios propios y grep, siempre con objetivos de ejemplo ficticios

Medio · 1 hora · 29 diapositivas · 4 con terminal de práctica · examen de 15 preguntas

• Redactar un informe de inteligencia con BLUF, estructura clara y lenguaje objetivo
• Expresar la incertidumbre con una escala de probabilidad y un grado de confianza, y declarar suposiciones, lagunas y alternativas
• Citar, archivar y marcar con TLP las fuentes y el informe, y someterlo a revisión antes de difundirlo
• Aplicar la seguridad operacional: aislar la investigación, no tocar al objetivo y proteger y retirar los datos

Herramientas y fuentes: Documento de texto para el informe, tabla de fuentes y valoración, capturas con su hash (como en el curso 2), siempre con un caso ficticio

Avanzado · 1 hora · 28 diapositivas · 3 con terminal de práctica · examen de 15 preguntas

• Resolver de punta a punta un caso de correo fraudulento con dominio parecido: preservar, leer cabeceras, comparar dominios y fechar el registro
• Verificar una imagen y una foto geolocalizada: metadatos, primera aparición, credenciales, consultas Overpass y sombras del sol
• Investigar una empresa y dinero público con titularidad real, OpenCorporates, ICIJ Offshore Leaks, OpenSanctions y BDNS sin exponer a personas
• Priorizar vulnerabilidades con KEV y EPSS, y redactar un informe con BLUF, escala de probabilidad, confianza y TLP corregido con una rúbrica

Herramientas y fuentes: Terminal (sha256sum, grep, cmp, curl, Node.js, Python con Pillow y astral), RDAP, Overpass API sobre OpenStreetMap, c2patool y exiftool, BORME, Registro Central de Titularidades Reales, OpenCorporates, ICIJ Offshore Leaks, OpenSanctions, BDNS, catálogo KEV de CISA, API EPSS de FIRST y feeds de MISP, siempre con casos ficticios y datos públicos

Medio · 1 h 15 min · 32 diapositivas · 8 con terminal de práctica · examen de 15 preguntas