Bonus: acelera tu flujo de trabajo con herramientas Ghost
Los veinte módulos de este curso usan, de forma deliberada, solo herramientas gratuitas y estándar de la industria: Volatility3, Wireshark, Autopsy, Eric Zimmerman Tools, KAPE, Wazuh. Es la decisión correcta para aprender, porque son exactamente las que se usan en un trabajo real de DFIR o en cualquier certificación seria — nada de lo explicado en este curso depende de ningún producto de pago, y nunca lo hará.
Dicho esto, Ghost Academy también construye sus propias herramientas, pensadas no para enseñar el proceso paso a paso sino para comprimirlo cuando el proceso ya se domina y lo que hace falta es velocidad: un incidente real no espera a que termines de encadenar manualmente cinco herramientas distintas. Esto es lo que hace cada una, y en qué parte exacta del curso ahorra tiempo.
Automatiza el pipeline completo de forense de memoria que los módulos 8-9 enseñaron a mano: adquisición, identificación de versión/símbolos, y ejecución encadenada de pslist, psscan, malfind y netscan sobre el mismo volcado, con las anomalías (procesos huérfanos, inyección detectada, conexiones sospechosas) ya marcadas en el informe de salida en vez de tener que cruzarlas manualmente artefacto a artefacto.
Un motor de reglas offline (con un modo opcional asistido por IA) que aplica a Event Logs, logs de Linux y exportaciones de SIEM el mismo tipo de correlación que el módulo 18 escribió a mano en una regla de Wazuh — pero ya con un catálogo de patrones de persistencia, fuerza bruta y borrado de logs preconstruido, listo para apuntar a un caso nuevo sin escribir la regla desde cero.
Asistente de respuesta a incidentes con motor conmutable (offline por reglas, o Gemini cuando hay conexión): ayuda a decidir, con el mismo criterio del módulo 17 (aislar vs apagar, qué contener primero), sin tener que reconstruir el playbook de memoria en mitad de un incidente real con el reloj corriendo.
Ninguna de las tres sustituye lo aprendido en el curso —siguen necesitando que entiendas qué significa cada hallazgo, no solo que aparezca marcado en pantalla— pero ahorran exactamente el tiempo que, en un incidente real, no siempre se tiene.