Análisis Forense de Emails y Verificación de su Autenticidad

Programa formativo

Módulo 1. Introducción al análisis forense de emails — 15 min

• ¿Qué es un análisis forense de correo electrónico?
• El email como evidencia digital.
• Diferencia entre:
• Remitente visible.
• Dirección real del remitente.
• Servidor de origen.
• Servidores intermedios.
• Información que puede proporcionar un correo.
• Preservación de la evidencia.
• Exportación de correos para su análisis.
• Importancia de trabajar sobre una copia de la evidencia original.

Conceptos clave

• Evidencia digital.
• Integridad.
• Trazabilidad.
• Cadena de custodia.
• Metadatos.

Módulo 2. Anatomía de un correo electrónico — 20 min

Análisis de las diferentes partes que componen un email:

Cabeceras

• From
• To
• Cc
• Date
• Subject
• Message-ID
• Reply-To
• Return-Path
• Received
• Authentication-Results

Cuerpo del mensaje

• Texto plano.
• HTML.
• Imágenes.
• Enlaces.
• Contenido incrustado.

Archivos adjuntos

• Nombre y extensión.
• Tipo MIME.
• Tamaño.
• Hash.
• Metadatos.
• Relación entre el archivo y el mensaje.

Módulo 3. Cómo verificar la autenticidad de un email — 30 min

Este será uno de los módulos principales de la formación.

SPF

• Qué es SPF.
• Funcionamiento básico.
• Servidores autorizados para enviar correo.
• Interpretación de:
• pass
• fail
• softfail
• neutral
• none

DKIM

• Qué es DKIM.
• Firma criptográfica del correo.
• Dominio que firma el mensaje.
• Verificación de la firma.
• Qué significa un resultado DKIM=pass o DKIM=fail.

DMARC

• Qué es DMARC.
• Relación entre SPF, DKIM y DMARC.
• Alineación de dominios.
• Interpretación de resultados:
• pass
• fail
• Políticas:
• none
• quarantine
• reject

Módulo 4. Análisis de las cabeceras Received — 20 min

Las cabeceras Received permiten reconstruir, cuando la información disponible es suficiente, el recorrido que siguió el mensaje entre servidores.

El alumno aprenderá a:

• Identificar servidores de correo.
• Ordenar cronológicamente las cabeceras.
• Interpretar fechas y horas.
• Identificar dominios involucrados.
• Detectar inconsistencias.
• Analizar direcciones IP presentes en las cabeceras.
• Diferenciar servidores legítimos de elementos sospechosos.
• Construir una pequeña línea temporal del correo.

Módulo 5. Detección de emails fraudulentos — 15 min

Análisis de indicadores habituales de:

• Phishing.
• Spoofing.
• Suplantación de dominios.
• Business Email Compromise (BEC).
• Emails fraudulentos.
• Dominios similares.
• Direcciones de respuesta diferentes al remitente.
• Enlaces sospechosos.
• Redirecciones.
• Archivos adjuntos sospechosos.

Módulo 6. Análisis forense de enlaces y adjuntos — 20 min

Enlaces

• URL visible frente a URL real.
• Dominio.
• Subdominio.
• Parámetros.
• Redirecciones.
• HTTPS y sus limitaciones.
• Indicadores de dominios sospechosos.

Adjuntos

• Extensiones.
• Tipos MIME.
• Hashes.
• Metadatos.
• Archivos comprimidos.
• Indicadores de manipulación.

Criterios de evaluación

Se considerará superado el curso cuando el alumnado:

• Asista, como mínimo, al porcentaje de horas establecido por la entidad organizadora, que se encuentra en el punto Horas mínimas obligatorias.
• Complete las actividades propuestas.

• Obtenga una valoración positiva en la prueba final o en la evaluación continua.