¿Por qué la vas a usar?

La vas a usar para leer carpetas, archivos, procesos y registros en Linux sin modificar el equipo.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Bash; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Bash que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Linux y macOS: normalmente ya está instalado.
4. Paso 4. Windows: usá WSL únicamente dentro de un laboratorio autorizado.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: bash --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. bash --versionDebe responder Bash o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. printf 'host=%s user=%s\n' "$(hostname)" "$(id -un)"Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Si un script falla con “bad interpreter”, probablemente tiene finales de línea de Windows (CRLF): guardalo de nuevo en formato Unix (LF).
• Si un comando funciona en tu equipo pero no en un servidor real, confirmá que ambos usan la misma shell (bash vs. sh) y la misma versión.
• Si aparece “command not found” con un binario que sabés que existe, revisá que su ruta esté en $PATH con echo $PATH.
• Guardá siempre la versión (bash --version) junto al problema: la sintaxis puede variar entre versiones.

Qué vas a practicar

• Reconocimiento de solo lectura
• Filtrado y conservación de salidas
• Revisión de permisos y procesos

Salida profesional

• Inventario reproducible
• Nota de diagnóstico
• Timeline de comandos

¿Por qué la vas a usar?

La vas a usar para consultar Windows y recibir datos ordenados sobre procesos, eventos y configuración.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de PowerShell; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de PowerShell que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Windows: PowerShell viene integrado; verificá la versión antes de usar sintaxis avanzada.
4. Paso 4. Linux y macOS: instalá PowerShell desde la documentación oficial si el módulo lo requiere.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: $PSVersionTable.PSVersion

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. $PSVersionTable.PSVersionDebe responder PowerShell o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Get-ComputerInfo | Select-Object CsName,WindowsProductNameDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Si un script .ps1 no ejecuta por la política de ejecución, no la deshabilites globalmente: revisá Get-ExecutionPolicy y ajustá el alcance mínimo en tu propio laboratorio.
• Si un cmdlet no existe, confirmá si necesitás importar un módulo (Import-Module) o si es exclusivo de PowerShell 7+ o de Windows PowerShell 5.1.
• Si la salida se ve cortada, usá Format-List * en vez de la tabla por defecto para ver todas las propiedades del objeto.
• Guardá $PSVersionTable.PSVersion junto al problema: hay diferencias reales de comportamiento entre versiones.

Qué vas a practicar

• Reconocimiento de endpoint
• Consulta de Event Viewer
• Exportación estructurada para correlación

Salida profesional

• Tabla de eventos
• Árbol de procesos
• Ficha de evidencia

¿Por qué la vas a usar?

La vas a usar para crear una computadora virtual aislada y volver atrás si una práctica cambia algo.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de VirtualBox; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de VirtualBox que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Descargá VirtualBox desde el sitio oficial y verificá la firma del instalador.
4. Paso 4. Creá una VM de práctica sin carpetas compartidas ni portapapeles bidireccional por defecto.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: VBoxManage --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. VBoxManage --versionDebe responder VirtualBox o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. VBoxManage list vmsDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Si la VM no arranca o es extremadamente lenta, la virtualización (VT-x/AMD-V) probablemente está deshabilitada en el BIOS/UEFI.
• En Windows, Hyper-V habilitado puede entrar en conflicto con VirtualBox; revisá si está activo antes de reinstalar cualquier cosa.
• Si la red no funciona, confirmá el modo de red (NAT vs. host-only vs. bridge): NAT es el más simple para empezar.
• Si no podés restaurar un snapshot, revisá que no quede un disco diferencial huérfano de una sesión anterior mal cerrada.

Qué vas a practicar

• Snapshot antes de cada reto
• NAT u host-only según el objetivo
• Restauración limpia después del laboratorio

Salida profesional

• Ficha de topología
• Checklist de aislamiento
• Registro de snapshot y rollback

¿Por qué la vas a usar?

La vas a usar para mirar procesos, programas que arrancan y firmas de archivos en Windows.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Sysinternals; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Sysinternals que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Descargá la suite desde Microsoft Sysinternals o usá Sysinternals Live cuando corresponda.
4. Paso 4. Validá la ruta y la versión antes de incorporar una utilidad al procedimiento.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: procexp.exe /? 2>&1 | Select-Object -First 5

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. procexp.exe /? 2>&1 | Select-Object -First 5Debe responder Sysinternals o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. sigcheck.exe -nobanner -h procexp.exeDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Windows SmartScreen puede bloquear el ejecutable recién descargado: click derecho → Propiedades → Desbloquear, en vez de deshabilitar SmartScreen.
• Algunas herramientas (como Process Explorer) piden aceptar el EULA la primera vez con /accepteula para no mostrar el diálogo cada vez.
• Si necesitás ver procesos de otras cuentas, ejecutá la terminal como administrador.
• Descargá siempre el paquete completo (Sysinternals Suite) desde Microsoft, nunca una copia individual de un sitio de terceros.

Qué vas a practicar

• Árbol de procesos
• Persistencia y autoruns
• Firma e integridad de binarios

Salida profesional

• Árbol de proceso
• Inventario de persistencia
• Ficha de binario

¿Por qué la vas a usar?

La vas a usar para ver cómo se comunican los equipos y seguir una conversación de red paso a paso.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Wireshark / TShark; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Wireshark / TShark que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Linux: sudo apt install wireshark tshark.
4. Paso 4. Windows: winget install WiresharkFoundation.Wireshark.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: wireshark --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. wireshark --versionDebe responder Wireshark / TShark o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. tshark -r capture.pcapng -Y 'dns' -c 10Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• En Windows, la captura en vivo requiere el driver Npcap instalado junto con Wireshark; si no aparecen interfaces, reinstalá marcando esa opción.
• En Linux, si tu usuario no puede capturar sin sudo, agregalo al grupo wireshark en vez de correr todo como root.
• Si no ves tráfico, confirmá que elegiste la interfaz activa real (puede haber varias virtuales) y que el modo promiscuo está permitido.
• Guardá siempre el .pcapng original antes de aplicar un display filter: el filtro no borra nada, pero trabajar sobre una copia evita errores.

Qué vas a practicar

• Pregunta → filtro → stream → conclusión
• Comparación de DNS y conexiones
• Preservación de PCAP y hash

Salida profesional

• Resumen de PCAP
• Timeline de flujo
• Tabla de indicadores de red

¿Por qué la vas a usar?

La vas a usar para comprobar rápidamente si existe tráfico y guardar una muestra autorizada.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de tcpdump; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de tcpdump que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Linux: sudo apt install tcpdump.
4. Paso 4. macOS: tcpdump suele estar incluido; verificá permisos de captura.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: tcpdump --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. tcpdump --versionDebe responder tcpdump o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. tcpdump -DDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Si aparece “permission denied”, necesitás sudo o el capability cap_net_raw asignado al binario.
• Si no ves los nombres esperados, usá -n para desactivar la resolución DNS, que puede generar tráfico adicional y ruido.
• Confirmá la interfaz correcta con -D antes de capturar; capturar en la interfaz equivocada da una captura vacía sin error visible.
• Guardá con -w a un archivo en vez de solo mirar la salida en pantalla si vas a analizarlo después con Wireshark.

Qué vas a practicar

• Confirmar si existe tráfico
• Limitar interfaz, host y cantidad
• Guardar una captura para Wireshark

Salida profesional

• Muestra de tráfico
• Filtro BPF explicado
• Registro de captura

¿Por qué la vas a usar?

La vas a usar para convertir una captura de red en registros más fáciles de leer y comparar.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Zeek; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Zeek que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Linux: instalá Zeek con el repositorio oficial o el paquete de tu distribución.
4. Paso 4. Verificá la versión y los scripts activos antes de comparar logs.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: zeek --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. zeek --versionDebe responder Zeek o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. zeek -r case.pcapDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Zeek necesita libpcap y, en muchas distros, compilar desde código lleva tiempo: usá paquetes precompilados oficiales cuando existan para tu distribución.
• Si no se generan logs, confirmá con zeekctl status que Zeek está escuchando en la interfaz correcta y no en una sin tráfico.
• Los logs son JSON o TSV según la configuración: confirmá el formato antes de escribir un parser.
• En modo cluster, un worker caído no siempre se nota de inmediato: revisá zeekctl status regularmente durante una práctica larga.

Qué vas a practicar

• PCAP → conn.log/dns.log/http.log
• Detección por comportamiento
• Correlación de uid entre logs

Salida profesional

• Tabla de conexiones
• Resumen DNS/HTTP
• Query de hunting de red

¿Por qué la vas a usar?

La vas a usar para hacer preguntas concretas al equipo usando consultas parecidas a SQL.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de osquery; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de osquery que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Linux: sudo apt install osquery.
4. Paso 4. Windows: instalá el paquete MSI desde la documentación oficial y habilitá logging solo en el lab.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: osqueryi --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. osqueryi --versionDebe responder osquery o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. osqueryi 'SELECT name, version FROM osquery_info;'Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Si osqueryi no abre, confirmá que instalaste el paquete correcto para tu sistema operativo y arquitectura, no un build genérico.
• Una tabla vacía puede ser una consulta válida sin datos, o un nombre de tabla que no existe en tu versión: usá .tables para confirmar.
• En macOS, algunas tablas requieren permisos de acceso completo al disco otorgados a osquery explícitamente en Preferencias del Sistema.
• Antes de usar osqueryd con un fleet manager, probá la consulta en modo interactivo (osqueryi) para validarla primero.

Qué vas a practicar

• Pregunta de endpoint → SQL
• Snapshot de configuración
• Scheduled queries y logs

Salida profesional

• Consulta de endpoint
• Baseline de software
• Tabla de puertos y procesos

¿Por qué la vas a usar?

La vas a usar para generar registros detallados de procesos, conexiones, archivos y DNS en Windows.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Sysmon; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Sysmon que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Descargá Sysmon desde Microsoft Sysinternals.
4. Paso 4. Probá una configuración mínima y documentá qué eventos habilita antes de desplegarla.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: sysmon64.exe -? 2>&1 | Select-Object -First 8

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. sysmon64.exe -? 2>&1 | Select-Object -First 8Debe responder Sysmon o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' -MaxEvents 5Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Sysmon necesita un archivo de configuración XML con reglas; sin uno, genera un volumen de eventos difícil de usar.
• La instalación requiere privilegios de administrador y no aparece como una app: se verifica desde el Visor de eventos o con Get-Service.
• Si cambiás la configuración, hay que reinstalarla explícitamente (sysmon64 -c nuevaconfig.xml); no se recarga sola.
• Los eventos aparecen bajo “Microsoft-Windows-Sysmon/Operational” en el Visor de eventos, no en el log de Seguridad.

Qué vas a practicar

• Instalación → configuración → validación
• Event ID 1/3/11/22
• Correlación de ProcessGuid y User

Salida profesional

• Árbol de procesos con ProcessGuid
• Tabla de conexiones
• Consulta de hunting

¿Por qué la vas a usar?

La vas a usar para reunir registros y alertas de varios equipos en un entorno SOC de práctica.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Wazuh; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Wazuh que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Seguí el Quickstart oficial y revisá requisitos actuales antes de instalar.
4. Paso 4. En un lab, la instalación all-in-one suele ser suficiente; documentá versión y recursos.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: sudo systemctl status wazuh-manager

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. sudo systemctl status wazuh-managerDebe responder Wazuh o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. curl -k https://localhost:55000Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• El manager y el agente deben comunicarse por los puertos 1514 y 1515; un firewall mal configurado es la causa más común de que un agente nunca conecte.
• El instalador “todo en uno” está pensado para pruebas: en un despliegue real separá manager, indexer y dashboard.
• Guardá la contraseña generada al instalar: no hay una forma simple de recuperarla después si la perdés.
• Un agente que aparece “never connected” casi siempre es un problema de red o de la clave de registro, no del propio Wazuh.

Qué vas a practicar

• Agente → manager → indexer
• Regla → alerta → triage
• FIM, vulnerabilidades y respuesta

Salida profesional

• Triage de alerta
• Regla documentada
• Reporte de agente y fuente

¿Por qué la vas a usar?

La vas a usar para buscar eventos en un SIEM en la nube y convertirlos en investigaciones.

Antes de empezar

• Usá una cuenta o tenant de laboratorio. No conectes datos, usuarios ni equipos de producción.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Microsoft Sentinel; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Microsoft Sentinel que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. No se instala localmente: creá un Log Analytics workspace y habilitá Sentinel en una suscripción autorizada.
4. Paso 4. Conectá solo fuentes de prueba y definí retención/costos antes de ingerir datos.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: SigninLogs | take 5

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. SigninLogs | take 5Debe responder Microsoft Sentinel o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. SecurityEvent | where TimeGenerated > ago(24h) | take 5Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Sentinel necesita un workspace de Log Analytics real con datos ingeridos: sin eso, cualquier consulta KQL devuelve vacío sin marcar error.
• Tablas como SigninLogs o SecurityIncident solo existen si el conector correspondiente está conectado y con datos recientes.
• El plan gratuito de Azure tiene límites de ingesta y retención: una consulta sobre datos muy viejos puede no encontrar nada aunque la sintaxis sea correcta.
• KQL distingue mayúsculas en nombres de tabla y campo: un error de tipeo silencioso es más común que un error de sintaxis visible.

Qué vas a practicar

• Conector → tabla → KQL
• Analytics rule → incident → entity
• Workbook y métrica de operación

Salida profesional

• KQL de triage
• Analytics rule
• Informe de incidente y workbook

¿Por qué la vas a usar?

La vas a usar para buscar y relacionar eventos de muchas fuentes dentro de un SIEM.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Splunk; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Splunk que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Usá Splunk Free, trial o contenedor de práctica según la licencia vigente.
4. Paso 4. Configurá un índice de laboratorio y una fuente de datos sintética antes de crear alertas.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: splunk version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. splunk versionDebe responder Splunk o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. index=_internal | head 5Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• La versión gratuita (Free) tiene un límite diario de indexación: superarlo no rompe nada, pero avisa en la interfaz.
• Si una búsqueda no encuentra eventos, revisá primero el rango de tiempo seleccionado arriba a la derecha; es la causa más común de “sin resultados”.
• Un índice nuevo no aparece solo: hay que crearlo explícitamente antes de que los datos lleguen ahí.
• SPL distingue mayúsculas en nombres de campo extraídos; revisalo si un filtro no matchea nada.

Qué vas a practicar

• Index/sourcetype → SPL
• Evento → notable → ticket
• Field extraction y dashboard

Salida profesional

• Búsqueda SPL
• Alerta con tuning
• Dashboard de triage

¿Por qué la vas a usar?

La vas a usar para kQL, EQL, detecciones y visualizaciones sobre Elastic Common Schema.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Elastic Security; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Elastic Security que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Podés usar Elastic Cloud o el stack local siguiendo la guía oficial.
4. Paso 4. Antes de ingestar, definí ECS, retención y datasets de laboratorio.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: GET /

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. GET /Debe responder Elastic Security o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. GET logs-*/_search?size=1Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Elasticsearch y Kibana son dos servicios distintos que deben correr juntos y con versiones compatibles entre sí.
• Un clúster que no arranca suele ser un problema de memoria: revisá los límites de heap configurados contra la RAM disponible.
• Si un índice no aparece en Kibana, primero hay que crear un “index pattern” que apunte a él.
• KQL y Lucene son dos sintaxis de búsqueda distintas en Kibana: confirmá cuál estás usando si una consulta no funciona como esperás.

Qué vas a practicar

• ECS → KQL/EQL
• Detection rule → alert
• Timeline y case management

Salida profesional

• KQL/EQL de hunting
• Detection rule
• Timeline de caso

¿Por qué la vas a usar?

La vas a usar para organizar alertas, tareas, evidencias y responsables de un caso.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de TheHive; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de TheHive que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Seguí la documentación oficial o el despliegue de laboratorio provisto por la academia.
4. Paso 4. Creá una organización de prueba y roles mínimos antes de cargar observables.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Abrí la consola web y comprobá que el estado del servicio sea healthy.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Abrí la consola web y comprobá que el estado del servicio sea healthy.Debe responder TheHive o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Creá un caso de prueba sin datos reales y verificá auditoría.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• TheHive necesita Cassandra y Elasticsearch corriendo y accesibles antes de iniciar el propio servicio.
• El primer usuario administrador se crea desde la interfaz la primera vez que accedés, no durante la instalación por línea de comandos.
• Si los casos no aparecen, confirmá que estás en la organización correcta: TheHive soporta varias organizaciones con datos separados.
• La integración con Cortex (enriquecimiento automático) es un servicio aparte: no viene incluida solo por instalar TheHive.

Qué vas a practicar

• Alerta → case
• Observable → tarea
• Evidencia → decisión → cierre

Salida profesional

• Caso SOC
• Lista de tareas
• Handoff auditable

¿Por qué la vas a usar?

La vas a usar para incidentes, dispositivos, correo, identidad y Advanced Hunting en Microsoft 365.

Antes de empezar

• Usá una cuenta o tenant de laboratorio. No conectes datos, usuarios ni equipos de producción.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Microsoft Defender XDR; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Microsoft Defender XDR que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Es un servicio cloud: usá un tenant de laboratorio o el entorno que proporcione la academia.
4. Paso 4. Configurá roles mínimos y fuentes de prueba antes de activar acciones de respuesta.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Abrí Advanced Hunting y ejecutá: DeviceProcessEvents | take 5

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Abrí Advanced Hunting y ejecutá: DeviceProcessEvents | take 5Debe responder Microsoft Defender XDR o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Revisá que el workspace tenga datos de entrenamiento antes de crear una regla.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Requiere una licencia real de Microsoft 365 Defender/E5 en el tenant: sin ella, las tablas de caza avanzada no tendrán datos.
• Advanced Hunting tiene una ventana de retención limitada (30 días por defecto); una consulta más vieja no devuelve nada aunque la sintaxis sea correcta.
• El nombre de tablas y campos en KQL para Defender es distinto al de Sentinel aunque el lenguaje sea el mismo: no asumas que una consulta se traslada igual.
• Los permisos de rol (RBAC) del tenant pueden ocultar datos aunque la cuenta tenga acceso al portal.

Qué vas a practicar

• Incidente → evidencia
• DeviceProcessEvents → hunting
• EmailEvents → campaña → alcance

Salida profesional

• Hunting query
• Incidente XDR
• Tabla de alcance de campaña

¿Por qué la vas a usar?

La vas a usar para entender identidades, permisos y accesos en un directorio cloud.

Antes de empezar

• Usá una cuenta o tenant de laboratorio. No conectes datos, usuarios ni equipos de producción.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Microsoft Entra ID; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Microsoft Entra ID que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. No se instala localmente: configurá un tenant o laboratorio autorizado.
4. Paso 4. Usá cuentas de prueba, MFA y roles mínimos; documentá la política de retención.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Revisá Sign-in logs y Audit logs del tenant de prueba.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Revisá Sign-in logs y Audit logs del tenant de prueba.Debe responder Microsoft Entra ID o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Comprobá que el usuario de laboratorio tenga solo el rol asignado.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Los logs de inicio de sesión y los de auditoría son dos secciones distintas: revisá la correcta según lo que buscás.
• La retención gratuita de logs es corta; para análisis histórico hay que exportarlos a un destino externo.
• Un intento de MFA fallido no siempre aparece como “failure” clara: revisá el campo de motivo de resultado, no solo el estado general.
• Ver aplicaciones OAuth con permisos amplios requiere el rol correcto (por ejemplo, administrador de aplicaciones); sin ese rol la lista aparece incompleta.

Qué vas a practicar

• Sign-in → contexto de riesgo
• Consentimiento OAuth → scope
• Cuenta → sesión → recurso

Salida profesional

• Informe de identidad
• Timeline de autenticación
• Recomendación de control

¿Por qué la vas a usar?

La vas a usar para enriquecimiento de hashes, dominios, URLs y archivos con múltiples fuentes.

Antes de empezar

• Usá una cuenta o tenant de laboratorio. No conectes datos, usuarios ni equipos de producción.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de VirusTotal; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de VirusTotal que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. No requiere instalación para la interfaz web; la API requiere cuenta y clave.
4. Paso 4. En la academia se usan indicadores sintéticos o muestras públicas autorizadas.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Abrí el portal y comprobá que el indicador de práctica esté sanitizado.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Abrí el portal y comprobá que el indicador de práctica esté sanitizado.Debe responder VirusTotal o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. API: curl -H 'x-apikey: REDACTED' https://www.virustotal.com/api/v3/domains/example.testDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• La API pública gratuita tiene un límite estricto de consultas por minuto: espaciá tus consultas si te devuelve un error de límite excedido.
• Subir un archivo real (no solo consultar un hash) lo hace visible para otros usuarios de la plataforma: en este laboratorio trabajá solo con hashes de práctica.
• Una sola detección positiva entre decenas de motores no es concluyente: mirá el consenso, la fecha del análisis y el nombre asignado por distintos motores.
• Un archivo “limpio” en VirusTotal solo significa que no coincide con firmas conocidas hasta ese momento, no que sea inofensivo con certeza.

Qué vas a practicar

• IOC → reputación
• Relaciones → pivotes
• Resultado → confianza y límites

Salida profesional

• Ficha de IOC
• Tabla de enriquecimiento
• Decisión con confianza

¿Por qué la vas a usar?

La vas a usar para observar URLs, redirecciones, recursos y dominios sin navegar directamente desde tu equipo.

Antes de empezar

• Usá una cuenta o tenant de laboratorio. No conectes datos, usuarios ni equipos de producción.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de urlscan.io; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de urlscan.io que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. No requiere instalación para la interfaz web; la API es opcional.
4. Paso 4. Usá dominios de práctica y verificá la política de visibilidad antes de enviar una URL.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Consultá un dominio de laboratorio desde la interfaz.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Consultá un dominio de laboratorio desde la interfaz.Debe responder urlscan.io o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Revisá visibility y datos sensibles antes de enviar una captura.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Un escaneo público en urlscan.io queda visible para cualquiera: nunca envíes una URL con tokens, credenciales o datos internos reales.
• El resultado tarda unos segundos en procesarse; consultar el UUID demasiado rápido puede devolver un resultado incompleto.
• Revisá también la pestaña de redirecciones: una URL de phishing suele encadenar varias antes de llegar al sitio real.
• La visibilidad (público, privado o unlisted) se elige al enviar el escaneo y no se puede cambiar después.

Qué vas a practicar

• URL → redirect chain
• DOM/resource → host
• Enriquecimiento → alcance

Salida profesional

• Mapa de redirecciones
• Ficha de URL
• Tabla de infraestructura

¿Por qué la vas a usar?

La vas a usar para compartir eventos, atributos, taxonomías y relaciones de inteligencia de amenazas.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de MISP; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de MISP que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Usá una instancia de práctica o el despliegue oficial documentado.
4. Paso 4. Configurá organizaciones, distribución y feeds con mínimos privilegios.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Abrí la instancia y comprobá que el usuario de laboratorio tenga rol de analista.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Abrí la instancia y comprobá que el usuario de laboratorio tenga rol de analista.Debe responder MISP o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Creá un evento de prueba con un dominio reservado y revisá su audit trail.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• La instalación oficial recomendada es vía Docker; mezclarla con una instalación manual suele causar puertos o rutas en conflicto.
• Un evento creado sin nivel de distribución explícito puede compartirse más ampliamente de lo previsto: revisalo antes de publicar.
• La API requiere una clave (API key) generada desde tu perfil, distinta de tu contraseña de acceso web.
• Un feed externo desactivado no se sincroniza aunque parezca configurado: confirmá que esté habilitado y programado.

Qué vas a practicar

• Evento → atributos
• Atributo → relación/galaxy
• Intel → detección y feedback

Salida profesional

• Evento CTI
• Ficha de atributo
• Pivotes de inteligencia

¿Por qué la vas a usar?

La vas a usar para visualizar técnicas, cobertura, gaps y prioridades de una defensa.

Antes de empezar

• Usá una cuenta o tenant de laboratorio. No conectes datos, usuarios ni equipos de producción.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de MITRE ATT&CK Navigator; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de MITRE ATT&CK Navigator que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Podés usar la instancia web o desplegar el proyecto oficial para un entorno privado.
4. Paso 4. Elegí la versión de ATT&CK que usa el módulo y registrala en cada capa.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Abrí Navigator y confirmá la matriz Enterprise correcta.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Abrí Navigator y confirmá la matriz Enterprise correcta.Debe responder MITRE ATT&CK Navigator o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Exportá una capa de prueba y anotá versión, fuente y criterio de puntuación.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Es una aplicación web sin backend: si cerrás la pestaña sin exportar, perdés el trabajo de la capa que estabas armando.
• La versión oficial online y una instalación local propia pueden tener versiones distintas de la matriz ATT&CK: confirmá la versión antes de comparar resultados.
• Al importar una capa exportada por otra persona, revisá que el JSON corresponda a la misma versión de Navigator.
• Los colores y puntajes son una convención visual que vos definís: no tienen un significado estándar fuera de lo que documentes.

Qué vas a practicar

• Hipótesis → técnicas
• Técnica → datasource/detection
• Gap → roadmap

Salida profesional

• Capa Navigator
• Matriz de cobertura
• Roadmap de gap

¿Por qué la vas a usar?

La vas a usar para crear reglas explicables para clasificar archivos por patrones y contexto.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de YARA; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de YARA que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Linux: sudo apt install yara.
4. Paso 4. Usá archivos de laboratorio y revisá la licencia/origen de cualquier muestra.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: yara --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. yara --versionDebe responder YARA o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. yara -r rule.yar samples/Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Un error de compilación de regla casi siempre es un paréntesis o comilla sin cerrar: yara reporta la línea exacta, revisala antes de simplificar la regla.
• Nunca ejecutes yara sobre una muestra real sin aislarla primero en un entorno seguro.
• Muchas condiciones “or” con cadenas cortas generan falsos positivos fácilmente: probá primero contra archivos benignos conocidos.
• Confirmá la versión de yara instalada: la sintaxis de módulos (pe, hash, math) puede variar entre versiones mayores.

Qué vas a practicar

• Hipótesis → regla
• Positivo/negativo → tuning
• Regla → pipeline o hunting

Salida profesional

• Regla YARA
• Reporte de falsos positivos
• Ficha de muestra

¿Por qué la vas a usar?

La vas a usar para revisar código fuente local con reglas explicables y validar cada coincidencia en su contexto.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Semgrep; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Semgrep que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Instalá el CLI desde la documentación oficial o usá la imagen de laboratorio aprobada.
4. Paso 4. Para el ejercicio, trabajá con el repositorio local de muestra y reglas revisadas.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: semgrep --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. semgrep --versionDebe responder Semgrep o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Confirmá que el repositorio y las reglas corresponden al caso local.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Si aparece “comando no encontrado”, cerrá y abrí la terminal y revisá que la instalación haya agregado la herramienta al PATH.
• Si aparece “permiso denegado”, no desactives controles de seguridad. Revisá la guía oficial y usá únicamente los permisos mínimos que indique para el laboratorio.
• Si la versión o la pantalla no coincide, comprobá que elegiste la guía de tu sistema operativo y que no instalaste un paquete de terceros con un nombre parecido.
• Si sigue fallando, guardá el mensaje exacto del error y la versión del sistema; esos dos datos permiten pedir ayuda sin compartir contraseñas ni tokens.

Qué vas a practicar

• Código fuente local → regla
• Coincidencia → contexto y requisito
• Hallazgo → validación y retest

Salida profesional

• Registro de hallazgos
• Análisis de falsos positivos
• Prueba de regresión

¿Por qué la vas a usar?

La vas a usar para realizar un rastreo acotado y análisis pasivo de una aplicación de laboratorio autorizada.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de OWASP ZAP Baseline; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de OWASP ZAP Baseline que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Usá la imagen oficial de ZAP desde Docker siguiendo la guía oficial.
4. Paso 4. Prepará una aplicación local de práctica con datos sintéticos y alcance confirmado.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Consultá `zap-baseline.py -h` en la imagen oficial.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Consultá `zap-baseline.py -h` en la imagen oficial.Debe responder OWASP ZAP Baseline o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Verificá antes que el destino resuelva al servicio local de laboratorio.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Si aparece “comando no encontrado”, cerrá y abrí la terminal y revisá que la instalación haya agregado la herramienta al PATH.
• Si aparece “permiso denegado”, no desactives controles de seguridad. Revisá la guía oficial y usá únicamente los permisos mínimos que indique para el laboratorio.
• Si la versión o la pantalla no coincide, comprobá que elegiste la guía de tu sistema operativo y que no instalaste un paquete de terceros con un nombre parecido.
• Si sigue fallando, guardá el mensaje exacto del error y la versión del sistema; esos dos datos permiten pedir ayuda sin compartir contraseñas ni tokens.

Qué vas a practicar

• App local → baseline pasivo
• Hallazgo → contexto y limitación
• Cambio → retest autorizado

Salida profesional

• Reporte pasivo
• Hallazgos verificados
• Lista de limitaciones

¿Por qué la vas a usar?

La vas a usar para consultar vulnerabilidades, versiones afectadas y referencias para priorizar exposición.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de NVD / CVE; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de NVD / CVE que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. No requiere instalación para consultas web; la API requiere una política de rate limit.
4. Paso 4. Usá CPE, versión y activo del inventario antes de asignar una CVE.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Consultá una CVE desde NVD y registrá fecha de acceso.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Consultá una CVE desde NVD y registrá fecha de acceso.Debe responder NVD / CVE o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. API: curl 'https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-ID'Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• La API pública tiene un límite de solicitudes sin clave; para consultas frecuentes conviene pedir una API key gratuita.
• Buscar por texto libre trae muchos falsos positivos: usar el identificador CPE exacto del producto da resultados mucho más precisos.
• Un CVE recién publicado puede tardar en tener el análisis completo (CVSS, CWE): la ausencia de esos campos no lo invalida.
• El rango de versiones afectadas está en el campo de configuración (CPE match), no en el texto descriptivo.

Qué vas a practicar

• Activo/version → CPE
• CVE → exposición
• Riesgo → parche o mitigación

Salida profesional

• Registro de vulnerabilidad
• Priorización contextual
• Plan de mitigación

¿Por qué la vas a usar?

La vas a usar para adquisición y hunting de endpoints mediante VQL y artefactos.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Velociraptor; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Velociraptor que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Descargá el binario oficial o usá el servidor de práctica de la academia.
4. Paso 4. Generá una configuración de laboratorio y separá roles de collection y administración.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: velociraptor version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. velociraptor versionDebe responder Velociraptor o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. velociraptor query 'SELECT * FROM info()'Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• El servidor y el cliente son modos distintos del mismo binario: confirmá cuál estás iniciando según el paso de la guía.
• El certificado autofirmado generado al crear la configuración mostrará una advertencia del navegador la primera vez: es esperado en un laboratorio propio.
• Un artefacto VQL que no devuelve nada puede estar filtrando por un sistema operativo distinto al del cliente de prueba.
• Guardá el archivo de configuración del servidor en un lugar seguro: contiene las claves que autentican a todos los clientes.

Qué vas a practicar

• Pregunta → VQL
• Collection → artifact
• Resultado → timeline y preservación

Salida profesional

• VQL de hunting
• Paquete de adquisición
• Informe de endpoint

¿Por qué la vas a usar?

La vas a usar para auditar llamadas API, identidades, recursos y cambios en AWS.

Antes de empezar

• Usá una cuenta o tenant de laboratorio. No conectes datos, usuarios ni equipos de producción.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de AWS CloudTrail; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de AWS CloudTrail que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. No se instala en el endpoint: habilitá un trail o event history en una cuenta de laboratorio.
4. Paso 4. CLI: instalá AWS CLI y configurá un perfil de práctica sin permisos de escritura.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: aws --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. aws --versionDebe responder AWS CloudTrail o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. aws sts get-caller-identity --profile lab-readonlyDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• CloudTrail no está activo por defecto en todas las regiones: confirmá en qué región buscás y si el trail correspondiente existe ahí.
• Los eventos pueden tardar unos minutos en aparecer después de la acción real: no asumas que faltan si buscás de inmediato.
• El CLI de AWS requiere credenciales configuradas (aws configure) con permisos de solo lectura para este laboratorio, nunca credenciales de producción.
• Un evento de lectura y uno de escritura quedan marcados en un campo distinto: filtrar mal ese campo puede ocultar la acción que buscás.

Qué vas a practicar

• Actor → API call
• CloudTrail → recurso
• Cambio IAM → impacto

Salida profesional

• Timeline cloud
• Informe de cambio IAM
• Tabla de alcance

¿Por qué la vas a usar?

La vas a usar para construir timelines forenses desde imágenes y fuentes de sistema.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Plaso / log2timeline; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Plaso / log2timeline que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Instalá Plaso en una VM forense mediante pipx o el paquete oficial.
4. Paso 4. Validá la imagen, hash, scope y almacenamiento antes de procesarla.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: log2timeline.py --version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. log2timeline.py --versionDebe responder Plaso / log2timeline o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. psort.py --versionDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• log2timeline.py puede tardar mucho sobre una imagen grande: probá primero con un subconjunto pequeño para validar el parser.
• Instalar Plaso con pip a veces choca con dependencias del sistema: un entorno virtual (venv) evita la mayoría de esos conflictos.
• El archivo de salida (.plaso) no es legible directamente: siempre hay que exportarlo con psort.py a un formato como CSV.
• Confirmá que el parser elegido corresponde al tipo de artefacto: no todos los parsers aplican a todas las imágenes.

Qué vas a practicar

• Imagen → plaso storage
• psort → CSV/TSV
• Timeline → evento y confianza

Salida profesional

• Super timeline
• Tabla de eventos
• Registro de procesamiento

¿Por qué la vas a usar?

La vas a usar para explorar y anotar timelines forenses con equipos de investigación.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Timesketch; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Timesketch que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Usá Docker o el despliegue documentado oficialmente en una VM de práctica.
4. Paso 4. Importá únicamente timelines sanitizadas y definí roles de lectura/anotación.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Comprobá que la interfaz web responda y que el usuario pueda abrir el sketch de práctica.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Comprobá que la interfaz web responda y que el usuario pueda abrir el sketch de práctica.Debe responder Timesketch o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Importá un CSV de prueba y verificá timestamp, timezone y source.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Timesketch suele instalarse con Docker Compose: un puerto ya ocupado en el host es la causa más común de que no levante.
• Un timeline recién importado puede tardar en indexarse por completo antes de mostrar todos sus eventos.
• Las anotaciones y etiquetas se guardan por sketch (proyecto): confirmá que estás en el sketch correcto antes de anotar.
• Compartir un sketch con otra persona requiere agregarla explícitamente: no es automático aunque compartan organización.

Qué vas a practicar

• CSV/plaso → sketch
• Filtro → annotation
• Timeline → hipótesis y handoff

Salida profesional

• Sketch de incidente
• Timeline anotada
• Handoff de pivotes

¿Por qué la vas a usar?

La vas a usar para revisar una copia de memoria y encontrar procesos o conexiones que no aparecen en disco.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Volatility 3; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Volatility 3 que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Python: python -m pip install volatility3 en una VM forense.
4. Paso 4. Trabajá con una imagen de práctica y registrá hash, sistema y versión del framework.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: vol --help

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. vol --helpDebe responder Volatility 3 o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. vol -f memory.raw windows.infoDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Volatility 3 no usa perfiles como la versión 2: si un plugin falla, confirmá primero que usás la sintaxis y los símbolos correctos para la versión instalada.
• El archivo de símbolos debe coincidir con el sistema operativo y build exactos de la imagen: una discrepancia da resultados vacíos o corruptos sin un error claro.
• Analizar una imagen de memoria puede consumir mucha RAM: en equipos con poca memoria, algunos plugins pueden fallar sin un mensaje descriptivo.
• Trabajá siempre sobre una copia de la imagen: algunos plugins pueden escribir archivos de caché junto al original.

Qué vas a practicar

• Memoria → perfil/OS
• pslist/pstree/netscan
• Hallazgo → timeline y correlación

Salida profesional

• Informe de memoria
• Árbol de procesos volátil
• Tabla de sockets

¿Por qué la vas a usar?

La vas a usar para escribir reglas de detección portables y convertirlas a la sintaxis del SIEM.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Sigma; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Sigma que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Python: python -m pip install sigma-cli.
4. Paso 4. Configurá el backend del SIEM de laboratorio y fijá una versión de la regla.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: sigma version

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. sigma versionDebe responder Sigma o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. sigma list targetsDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• sigma convert necesita el paquete del backend correspondiente instalado aparte (por ejemplo, para Splunk o Elastic): sin él, la conversión falla aunque la regla sea válida.
• Un campo correcto en la regla puede no existir con ese nombre exacto en tu SIEM real: revisá el mapeo de campos antes de asumir que la regla no sirve.
• sigma check valida sintaxis y estructura, no que la regla tenga sentido lógico: una regla válida puede seguir sin detectar nada útil.
• Las reglas de repositorios comunitarios pueden estar pensadas para una versión de esquema distinta: confirmá la versión antes de usarlas tal cual.

Qué vas a practicar

• Comportamiento → YAML
• Rule → backend query
• Fixture → test → tuning

Salida profesional

• Regla Sigma
• Pruebas positivas/negativas
• Documento de tuning

¿Por qué la vas a usar?

La vas a usar para orquestar enriquecimiento, decisiones y acciones con aprobación humana.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Shuffle SOAR; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Shuffle SOAR que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Usá la instancia cloud o despliegue oficial de laboratorio.
4. Paso 4. Diseñá primero en modo dry-run y separá pasos que leen de pasos que cambian estado.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Abrí el workflow de prueba y ejecutá una entrada sintética.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Abrí el workflow de prueba y ejecutá una entrada sintética.Debe responder Shuffle SOAR o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Verificá logs, aprobaciones y la rama de error antes de conectar un conector real.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Un webhook expuesto sin autenticación puede recibir datos de cualquiera que descubra la URL: protegelo antes de usarlo fuera del laboratorio.
• El modo dry-run simula el flujo sin ejecutar acciones reales, pero no valida necesariamente que las credenciales de cada paso sean correctas.
• Docker Compose es la forma más común de instalarlo: revisá que los puertos definidos no choquen con otro servicio ya corriendo.
• Un workflow que falla silenciosamente en un paso intermedio suele deberse a un formato de dato distinto al que espera el siguiente paso.

Qué vas a practicar

• Alert → enrichment
• Approval gate
• Action → audit → rollback

Salida profesional

• Playbook
• Mapa de aprobaciones
• Métrica de automatización segura

¿Por qué la vas a usar?

La vas a usar para visualizar relaciones y rutas de privilegio para fortalecer Active Directory.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de BloodHound; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de BloodHound que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Usá el despliegue oficial o una VM de laboratorio con un dominio ficticio.
4. Paso 4. Recolectá solo el alcance autorizado y documentá fecha, cuenta y método.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Abrí el grafo y cargá datos de un dominio de prueba.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Abrí el grafo y cargá datos de un dominio de prueba.Debe responder BloodHound o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Comprobá que la consulta parte de una identidad de laboratorio y no de producción.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• BloodHound necesita Neo4j corriendo y accesible antes de abrir la interfaz: sin la base de datos, la interfaz carga pero no muestra nada.
• Los datos vienen de un recolector aparte (como SharpHound): BloodHound solo visualiza, no recolecta por sí mismo.
• La contraseña por defecto de Neo4j debe cambiarse en el primer inicio; si no, la importación de datos puede fallar en la autenticación.
• Un grafo vacío después de importar datos suele significar que el archivo de recolección corresponde a un dominio distinto al que estás filtrando.

Qué vas a practicar

• AD collection → graph
• Path → control gap
• Remediation → retest

Salida profesional

• Mapa de privilegios
• Plan de mínimo privilegio
• Evidencia de remediación

¿Por qué la vas a usar?

La vas a usar para investigar dispositivos, procesos, conexiones, vulnerabilidades y acciones de respuesta.

Antes de empezar

• Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
• Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
• Abrí la documentación oficial de Microsoft Defender for Endpoint; evitá instaladores, scripts o tutoriales de origen desconocido.

Cómo instalarla o acceder, paso a paso

1. Paso 1. Abrí el enlace oficial de Microsoft Defender for Endpoint que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
2. Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
3. Paso 3. Es un servicio administrado: incorporá solo dispositivos de laboratorio.
4. Paso 4. Definí roles, retención y política de aislamiento antes de simular respuesta.
5. Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: Revisá Device inventory y Advanced Hunting en el portal de prueba.

La práctica web de la academia ya está preparada. Instalá la herramienta solo cuando una clase te lo pida y siempre en un entorno propio autorizado.

Cómo saber si quedó bien

1. Revisá Device inventory y Advanced Hunting en el portal de prueba.Debe responder Microsoft Defender for Endpoint o mostrar su versión, estado o pantalla principal sin un error de instalación.
2. Ejecutá DeviceInfo | take 5 para comprobar que existe telemetría.Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.

Si algo falla

• Windows Defender puede eliminar automáticamente una muestra de práctica antes de poder analizarla: agregá una exclusión temporal solo en tu VM de laboratorio, nunca en un equipo real.
• El historial de protección muestra detecciones pasadas, pero no siempre el detalle completo si la muestra ya fue eliminada.
• Un archivo en cuarentena sigue existiendo en una ubicación especial: no lo restaures fuera de un entorno aislado.
• Las definiciones de firmas se actualizan automáticamente: una muestra no detectada hoy podría marcarse distinto mañana sin que cambies nada.

Qué vas a practicar

• Alert → device timeline
• Process → network → user
• Containment → validation

Salida profesional

• Timeline EDR
• Hunting query
• Plan de contención reversible