CRTO

Zero-Point Security mantiene el curso en una plataforma nueva. La página oficial histórica sigue exponiendo el currículo completo consultado el 28 de julio de 2026: 28 bloques y 167 lecciones. Esta matriz registra esa procedencia porque la nueva landing puede no mostrar el mismo nivel de detalle.

Los principios del proyecto explican por qué este recorrido ordena la práctica sin reemplazar las páginas canónicas ni limitar su profundidad.

Los objetivos resumen todos los temas públicos de cada bloque. Cobalt Strike se trata como implementación del curso. Los modelos de C2, identidad, protocolo, trust y operación pertenecen a rutas canónicas independientes del producto.

ID	Bloque y objetivos públicos	Profundidad exigida	Rutas canónicas	Práctica y evidencia	Cobertura	Dependencia pendiente	Fuente y revisión
CRTO-01	Getting Started. Lab, red teaming, OPSEC, estabilidad, lifecycle, planning y reporting.	Diseñar una operación con objetivos, deconfliction, telemetría, criterios de parada y cierre.	Red team, planificación y metodología.	Plan operativo, matriz de técnicas, indicadores, timeline y after-action report.	seed	Añadir un encargo Red Team reproducible.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-02	Command & Control. Cobalt Strike, listeners, payloads, Beacon y pivot listeners.	Explicar team server, operator auth, listeners, agents, tasking, payload lifecycle, pivots y recuperación.	Arquitectura y command-and-control/cobalt-strike.	Desplegar C2 aislado, listener, agent, pivot, pérdida y recuperación con logs.	seed	Cobalt Strike y operación C2 no publicados.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-03	External Reconnaissance. DNS, search operadores y social media.	Atribuir activos y personas, conservar procedencia y distinguir presente de histórico.	Infraestructura y recon web.	Inventario RDAP/CT/DNS/search con confianza y validación directa.	seed	OSINT de personas completo permanece aplazado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-04	Initial Compromise. Spraying, phishing interno, payloads, VBA, remote templates y HTML smuggling.	Modelar pretext, delivery, execution, identity, payload chain, controls y observables.	Abuso de correo y adversary-operations/initial-access.	Campaña simulada con canaries, payload benigno, métricas y limpieza.	seed	Spraying, Office payloads y delivery no publicados.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-05	Host Reconnaissance. Procesos, Seatbelt, screenshots, keylogger, clipboard y sessions.	Enumerar host y usuarios diferenciando consulta, captura de datos y impacto de privacidad.	operating-systems/windows/local-enumeration y post-exploitation/host-recon.	Manual vs agent, output mínimo, telemetría y tratamiento de datos.	absent	Host recon no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-06	Host Persistence. Scheduled tareas, Startup, Registry AutoRun y COM hijacks.	Entender trigger, principal, ACL, payload, reliability, detection y reversión.	post-exploitation/persistence/windows.	Una técnica por mecanismo con referencia, reboot/logon y limpieza verificado.	absent	Persistence congelada.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-07	Host Privilege Escalation. Services, unquoted paths, weak service/binary permissions y UAC.	Validar ACL, token, service control, path resolution, integrity y ejecución elevada.	operating-systems/windows/privilege-escalation.	Positivo/negativo por service path y ACL, UAC context y reversión.	absent	Windows escalation no publicada.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-08	Host Persistence (Reprised). Elevated services y WMI event subscriptions.	Aplicar persistence desde integridad alta con ownership y artifacts completos.	post-exploitation/persistence/windows/services-and-wmi.	Servicio y WMI subscription con inventory, trigger, logs y removal.	absent	Depende de CRTO-06 y CRTO-07.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-09	Credential Theft. Mimikatz, NTLM, Kerberos keys/tickets, SAM, cached credentials y DCSync.	Identificar stores, privilegios, formats, protections, reuse y telemetría de credential access.	post-exploitation/credentials/windows-and-ad.	Captura controlada por store, parse, use case, protection y purge.	absent	Credential access no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-10	Password Cracking Tips & Tricks. Wordlists, rules, masks, combinator, hybrid y kwprocessor.	Diseñar candidatos por evidencia, identificar hash, medir keyspace, rendimiento y cobertura.	access-and-exploitation/password-attacks/offline.	Cracking reproducible con session, recuperación, canary, rules y resultado negativo.	absent	Password attacks no publicados.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-11	Domain Reconnaissance. PowerView, SharpView y ADSearch.	Relacionar tooling con LDAP, objetos, ACL, sessions, trusts y errores.	active-directory/enumeration y tooling/powerview.	Enumeración desde agent y built-ins, validación LDAP y graph.	absent	AD no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-12	User Impersonation. Pass-the-hash/ticket, overpass, tokens, make-token e injection.	Diferenciar material, logon session, token, ticket cache, process context y network identity.	post-exploitation/credentials/impersonation.	Cada técnica con identidad local/remota, proceso, ticket/token y revert.	absent	Impersonation no publicada.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-13	Lateral Movement. WinRM, PsExec, WMI, CoInitializeSecurity y DCOM.	Comparar transportes, credenciales, creación de procesos, resultados, firewall, registros y limpieza.	Servicios WinRM, WMI y lateral-movement/windows.	Una cuenta sobre cuatro mecanismos, un caso denegado y un inventario de artefactos.	seed	La enumeración publicada requiere revisión. La ejecución lateral y DCOM siguen ausentes.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-14	Data Protection API. Credential Manager y scheduled-task credentials.	Comprender scope user/machine, master keys, protectors, domain backup key y blobs.	operating-systems/windows/dpapi.	Descifrado en contexto y offline con dependency chain documentada.	absent	DPAPI no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-15	Kerberos. Roasting, unconstrained/constrained/RBCD, S4U, altservice y shadow credentials.	Dominar AS/TGS/PAC, SPN, delegation, key credentials, tickets y KDC errors.	networking/protocols/kerberos y active-directory/attacks/kerberos.	Flujo de red, ataque positivo/negativo, ticket inspection y limpieza.	absent	Kerberos y AD attacks no publicados.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-16	Pivoting. SOCKS, proxychains, Proxifier, Kerberos, browsers y reverse forwards.	Controlar rutas, DNS, bind, double pivot, application compatibility y failure recuperación.	post-exploitation/pivoting-and-tunneling.	Dos redes y dos sistemas operativos, DNS remoto, browser y escaneo acotado.	absent	Pivoting no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-17	Active Directory Certificate Services. CA discovery, templates y persistence de usuario/equipo.	PKI, enrollment, mapping, template ACL/EKU, ESC paths, certificates y revocation.	active-directory/enterprise-services/adcs.	Certipy más validación manual, emisión, auth, persistence y revocación.	absent	ADCS no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-18	Group Policy. Modificar y crear/link GPO.	Entender GPC/GPT, ACL, version, scope, inheritance, processing, replication y reversión.	active-directory/group-policy.	Backup GPO, cambio controlado, gpupdate/result, logs y recuperación.	absent	Group Policy no publicada.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-19	MS SQL Servers. Suplantación, ejecución de comandos, movimiento lateral y escalada de privilegios.	Modelar instancia, login, roles, suplantación, linked servers, ejecución e identidad del servicio.	MSSQL y access-and-exploitation/services/mssql.	Cadena de linked servers, permisos efectivos, ejecución y reversión.	seed	La enumeración publicada requiere revisión. El abuso de SQL Server y AD sigue aplazado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-20	Microsoft Configuration Manager. Enumeration, NAA credentials y lateral movement.	Entender site hierarchy, roles, clients, content, accounts, policy y admin service.	active-directory/enterprise-services/sccm.	Enumeración, credencial legacy/control moderno, path lateral y limpieza.	absent	SCCM no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-21	Domain Dominance. Silver, golden, diamond tickets y forged certificates.	Explicar keys, PAC, lifetime, validation, scope, indicators y conditions de cada artefacto.	active-directory/domain-dominance.	Crear, usar, inspeccionar y purgar cada artefacto en lab desechable.	absent	AD y Kerberos no publicados.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-22	Forest & Domain Trusts. Parent/child y trusts one-way inbound/outbound.	Modelar direction, transitivity, SID filtering, selective auth, trust keys y referrals.	active-directory/enterprise-services/trusts.	Tres topologías, path permitido/denegado y evidence de boundary.	absent	Trusts no publicados.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-23	Local Administrator Password Solution. Lectura, expiración y backdoors.	Diferenciar legacy LAPS/Windows LAPS, schema, ACL, encryption, history y policy.	active-directory/enterprise-services/laps.	Enumeración ACL, lectura permitida/denegada, rotation y recuperación.	absent	LAPS no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-24	Microsoft Defender Antivirus. Artifact Kit, Resource Kit, Malleable C2, AMSI y detecciones de comportamiento.	Distinguir análisis estático, comportamiento, scripts, árbol de procesos, línea de comandos, memoria y perfil C2.	defense-evasion/windows-defender y defense/technique-and-detection.	Detección de referencia, transformación controlada, telemetría y prueba de regresión.	absent	Las rutas canónicas de evasión y detección no están publicadas.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-25	Application Whitelisting. AppLocker, paths, LOLBins, CLM y Beacon DLL.	Enumerar effective policy, rule collections, user scope, interpreters, writable paths y enforcement.	defense-evasion/application-control.	Caso permitido/denegado, policy evidence, execution chain y limpieza.	absent	Application control no publicado.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-26	Data Hunting & Exfiltration. Shares y databases.	Definir objective, selectors, minimization, preparación, channels, limits, hashes y limpieza.	post-exploitation/collection-and-exfiltration.	Dataset sintético, search log, preparación cifrado, transfer y deletion verification.	absent	Collection/exfiltration congelada.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-27	Extending Cobalt Strike. Mimikatz Kit, jump/remote-exec, BOF y Malleable C2.	Entender extension lifecycle, Aggressor/BOF interfaces, build provenance, profiles y operator safety.	adversary-operations/command-and-control/cobalt-strike/extensions.	Build reproducible, code review, BOF in lab, profile validation y reversión.	absent	Cobalt Strike y desarrollo de extensiones no publicados.	ZPS RTO legacy curriculum · 2026-07-28
CRTO-28	Exam Preparation. Habilitar Defender y practicar el entorno completo.	Ejecutar la cadena bajo controles activos, tiempo limitado y documentación suficiente.	practical-work/certification-labs/crto.	Encargo completo desde el reconocimiento hasta el objetivo, con Defender activo, limpieza e informe.	absent	Depende de CRTO-02 a CRTO-27.	ZPS RTO legacy curriculum · 2026-07-28

La matriz podrá pasar a reviewed aunque muestre brechas cuando cubra todos los bloques públicos, registre la versión consultada y haya superado su propia revisión editorial. Una fila técnica solo cambia cuando la ruta canónica existe con suficiente profundidad. El uso de Cobalt Strike en el currículo no traslada Kerberos, WMI, SQL, ADCS o AppLocker a una taxonomía por producto.

• Zero-Point Security: Red Team Ops, currículo histórico completo
• Zero-Point Security: Red Team Ops, landing actual
• Cobalt Strike documentation