N1 · Redes›Modelo de red y TCP/IP›Direcciones, puertos y sockets
CLASE GRATUITAClase + práctica guiada
Direcciones, puertos y sockets
Entendé cómo una conexión identifica sus dos extremos y qué no revela por sí sola.
15–20 min recorrido guiado4 etapasincluida entorno práctico
MODELO DE DIRECCIONES, PUERTOS Y SOCKETSIP local/remota → PID y estado
LC / 1 / DIRECCIO
Lecturas revisadas
0%Vista libre · iniciá sesión para guardar y validar
AL TERMINAR VAS A PODER
Leer los dos extremos de una conexión y relacionarlos con un servicio sin tratar una IP o un puerto como prueba de actividad maliciosa.
APLICACIÓN EN LA PRÁCTICAEn un SOC, este método relaciona un flujo con su proceso sin juzgarlo solo por su IP o su puerto.
CÓMO RECORRERLA
Una etapa por vez.
Primero ubicá el objetivo y entendé el tema, después seguí el ejemplo guiado, practicá, transferí lo aprendido y cerrá con una comprobación.
No necesitás instalar herramientas ni saber ciberseguridad. Abrí las tarjetas en orden; las guías de herramientas son ampliaciones opcionales.
Guía opcional de instalación y herramientas No hace falta instalar nada
HERRAMIENTAS PROFESIONALES · GUÍA DE CONSULTA
Herramientas con propósito.
Cada herramienta se aprende a partir de la pregunta que responde. Material de referencia, no requisito para completar esta clase. Los laboratorios incluidos corren en el navegador con datos ficticios; instalá herramientas localmente solo si una clase lo pide y en un entorno autorizado.
4 herramientas vinculadas
Red · PCAP
Wireshark / TShark
Capturar y analizar paquetes, conversaciones, DNS, TLS y HTTP con filtros reproducibles.
¿Por qué la vas a usar?
La vas a usar para ver cómo se comunican los equipos y seguir una conversación de red paso a paso.
Antes de empezar
Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
Abrí la documentación oficial de Wireshark / TShark; evitá instaladores, scripts o tutoriales de origen desconocido.
Cómo instalarla o acceder
Paso 1. Abrí el enlace oficial de Wireshark / TShark que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: wireshark --version
La academia ya prepara el laboratorio web; instalala localmente solo cuando una clase te lo pida.
Cómo saber si quedó bien
wireshark --versionDebe responder Wireshark / TShark o mostrar su versión, estado o pantalla principal sin un error de instalación.
tshark -r capture.pcapng -Y 'dns' -c 10Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.
Qué vas a practicar
Pregunta → filtro → stream → conclusión
Comparación de DNS y conexiones
Preservación de PCAP y hash
Si la instalación o el acceso falla
En Windows, la captura en vivo requiere el driver Npcap instalado junto con Wireshark; si no aparecen interfaces, reinstalá marcando esa opción.
En Linux, si tu usuario no puede capturar sin sudo, agregalo al grupo wireshark en vez de correr todo como root.
Si no ves tráfico, confirmá que elegiste la interfaz activa real (puede haber varias virtuales) y que el modo promiscuo está permitido.
Guardá siempre el .pcapng original antes de aplicar un display filter: el filtro no borra nada, pero trabajar sobre una copia evita errores.
Red · captura
tcpdump
Captura y lectura de paquetes desde terminal para una primera comprobación rápida.
¿Por qué la vas a usar?
La vas a usar para comprobar rápidamente si existe tráfico y guardar una muestra autorizada.
Antes de empezar
Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
Abrí la documentación oficial de tcpdump; evitá instaladores, scripts o tutoriales de origen desconocido.
Cómo instalarla o acceder
Paso 1. Abrí el enlace oficial de tcpdump que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
Paso 3. Linux: sudo apt install tcpdump.
Paso 4. macOS: tcpdump suele estar incluido; verificá permisos de captura.
Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: tcpdump --version
La academia ya prepara el laboratorio web; instalala localmente solo cuando una clase te lo pida.
Cómo saber si quedó bien
tcpdump --versionDebe responder tcpdump o mostrar su versión, estado o pantalla principal sin un error de instalación.
tcpdump -DDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.
Qué vas a practicar
Confirmar si existe tráfico
Limitar interfaz, host y cantidad
Guardar una captura para Wireshark
Si la instalación o el acceso falla
Si aparece “permission denied”, necesitás sudo o el capability cap_net_raw asignado al binario.
Si no ves los nombres esperados, usá -n para desactivar la resolución DNS, que puede generar tráfico adicional y ruido.
Confirmá la interfaz correcta con -D antes de capturar; capturar en la interfaz equivocada da una captura vacía sin error visible.
Guardá con -w a un archivo en vez de solo mirar la salida en pantalla si vas a analizarlo después con Wireshark.
Terminal · Linux
Bash
La base para consultar archivos, procesos, permisos y logs en endpoints Linux.
¿Por qué la vas a usar?
La vas a usar para leer carpetas, archivos, procesos y registros en Linux sin modificar el equipo.
Antes de empezar
Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
Abrí la documentación oficial de Bash; evitá instaladores, scripts o tutoriales de origen desconocido.
Cómo instalarla o acceder
Paso 1. Abrí el enlace oficial de Bash que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
Paso 3. Linux y macOS: normalmente ya está instalado.
Paso 4. Windows: usá WSL únicamente dentro de un laboratorio autorizado.
Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: bash --version
La academia ya prepara el laboratorio web; instalala localmente solo cuando una clase te lo pida.
Cómo saber si quedó bien
bash --versionDebe responder Bash o mostrar su versión, estado o pantalla principal sin un error de instalación.
printf 'host=%s user=%s\n' "$(hostname)" "$(id -un)"Debe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.
Qué vas a practicar
Reconocimiento de solo lectura
Filtrado y conservación de salidas
Revisión de permisos y procesos
Si la instalación o el acceso falla
Si un script falla con “bad interpreter”, probablemente tiene finales de línea de Windows (CRLF): guardalo de nuevo en formato Unix (LF).
Si un comando funciona en tu equipo pero no en un servidor real, confirmá que ambos usan la misma shell (bash vs. sh) y la misma versión.
Si aparece “command not found” con un binario que sabés que existe, revisá que su ruta esté en $PATH con echo $PATH.
Guardá siempre la versión (bash --version) junto al problema: la sintaxis puede variar entre versiones.
Terminal · Windows
PowerShell
Consulta estructurada de Windows, eventos, servicios, procesos y objetos de administración.
¿Por qué la vas a usar?
La vas a usar para consultar Windows y recibir datos ordenados sobre procesos, eventos y configuración.
Antes de empezar
Usá una computadora propia o, preferentemente, una máquina virtual de práctica donde puedas volver atrás.
Confirmá tu sistema operativo y arquitectura. Seguí solamente la opción que corresponda a tu equipo.
Abrí la documentación oficial de PowerShell; evitá instaladores, scripts o tutoriales de origen desconocido.
Cómo instalarla o acceder
Paso 1. Abrí el enlace oficial de PowerShell que aparece al final de esta tarjeta y buscá la sección de instalación o acceso.
Paso 2. Elegí la guía de tu sistema operativo o plataforma. No ejecutes también las instrucciones de las otras plataformas.
Paso 3. Windows: PowerShell viene integrado; verificá la versión antes de usar sintaxis avanzada.
Paso 4. Linux y macOS: instalá PowerShell desde la documentación oficial si el módulo lo requiere.
Paso 5. Cerrá y volvé a abrir la terminal o el portal. Después realizá esta primera comprobación: $PSVersionTable.PSVersion
La academia ya prepara el laboratorio web; instalala localmente solo cuando una clase te lo pida.
Cómo saber si quedó bien
$PSVersionTable.PSVersionDebe responder PowerShell o mostrar su versión, estado o pantalla principal sin un error de instalación.
Get-ComputerInfo | Select-Object CsName,WindowsProductNameDebe devolver información del entorno de práctica; no debe pedirte datos reales ni modificar el sistema.
Qué vas a practicar
Reconocimiento de endpoint
Consulta de Event Viewer
Exportación estructurada para correlación
Si la instalación o el acceso falla
Si un script .ps1 no ejecuta por la política de ejecución, no la deshabilites globalmente: revisá Get-ExecutionPolicy y ajustá el alcance mínimo en tu propio laboratorio.
Si un cmdlet no existe, confirmá si necesitás importar un módulo (Import-Module) o si es exclusivo de PowerShell 7+ o de Windows PowerShell 5.1.
Si la salida se ve cortada, usá Format-List * en vez de la tabla por defecto para ver todas las propiedades del objeto.
Guardá $PSVersionTable.PSVersion junto al problema: hay diferencias reales de comportamiento entre versiones.
Uso seguro. No copies credenciales, no subas información real a servicios públicos y no ejecutes acciones de contención fuera del alcance autorizado.
Errores frecuentes que conviene evitar 3 ideas
ERRORES QUE ESTE TEMA PROVOCA
Lo que suele salir mal acá.
Tomar el volumen como gravedad. Mucho tráfico puede ser una copia de respaldo; poco tráfico y constante puede ser lo que importa.
Confiar en la IP como identidad. NAT, proxy y VPN hacen que una dirección represente a muchas personas o a ninguna en particular.
Reconstruir la secuencia sin normalizar las horas. Si las fuentes usan zonas distintas, la línea temporal que armes va a estar mal ordenada.
ETAPA 01
Entender el tema
Empezá por interpretar una conexión como dos extremos y un estado.. Aclaramos conceptos y límites antes de aplicarlos.
0/2 pasos
Una dirección IP identifica un extremo de red. El puerto indica qué extremo de aplicación recibe o envía datos en ese equipo. El protocolo —por ejemplo, TCP o UDP— describe cómo se transporta la comunicación.
Un socket combina una dirección, un puerto y un protocolo. En una conexión suelen aparecer dos extremos: origen y destino. El puerto de origen puede cambiar entre conexiones; el de destino suele sugerir un servicio, pero no lo confirma por sí solo.
Ejemplo: `equipo-A:51514 → servidor-B:443/TCP` describe extremos y transporte. No dice qué persona estaba frente al equipo, qué contenido viajó ni si la conexión era legítima.
Repasar conceptos con definiciones y ejemplos 3 conceptos
Conceptos esenciales de esta tarea
Cada concepto arranca de una pregunta o una decisión real, no de una definición de diccionario. Los comandos aparecen más adelante solamente cuando la clase realmente los necesita.
01
IP local/remota
Ver una IP en un log no dice tanto como parece: identifica un extremo de red en ese momento, pero DHCP, VPN o NAT pueden hacer que esa dirección corresponda a equipos distintos en momentos distintos. El hostname ayuda, pero ninguno de los dos identifica a una persona ni prueba una intrusión por sí solo.
Ejemplo: 10.20.40.42 puede ser la IP de LAP-FIN-042 en ese momento; contrastala con inventario, DNS y la hora del evento porque DHCP, VPN o NAT pueden cambiar la relación.
En inglés técnico: IP address y hostname son los términos en inglés — "IP" viene de "Internet Protocol".
02
puerto local/remoto
Una IP te dice a qué equipo llegó algo, pero no qué servicio lo atendió — eso lo dice el puerto. Un socket es la combinación de IP y puerto en cada extremo, y su estado solo tiene sentido si lo relacionás con el proceso y el servicio que se esperaba ahí.
Ejemplo: 10.0.0.8:51532 → 10.0.0.20:443 representa dos extremos, no una conclusión. En la práctica de esta clase vas a usar este dato para “Relacionar una conexión con su proceso y servicio esperado”. Anotá qué observaste y qué información todavía necesitarías confirmar antes de concluir.
En inglés técnico: port, socket y connection state son los términos en inglés.
03
PID y estado
Un nombre de proceso desconocido, por sí solo, no dice nada: lo que importa es su PID, quién es su proceso padre, y qué ruta y argumentos usó al iniciar. Esos datos juntos son los que permiten decidir si algo merece atención.
Ejemplo: Un nombre desconocido necesita PID, padre y ruta antes de considerarse sospechoso. En la práctica de esta clase vas a usar este dato para “Relacionar una conexión con su proceso y servicio esperado”. Anotá qué observaste y qué información todavía necesitarías confirmar antes de concluir.
En inglés técnico: PID = "Process ID", PPID = "Parent Process ID" — se usan siempre como siglas en inglés.
ETAPA 02
Practicar con guía
Aplicá el método de esta clase: Relacionar una conexión con su proceso y servicio esperado. Usá los datos y materiales disponibles y justificá cada paso.
0/1 pasos
ETAPA 03
Producir y transferir
Producí o explicá un resultado que otra persona pueda revisar: Mapa de comunicación con origen, destino, protocolo, tiempo y resultado. La estimación contempla el tiempo indicado para este paso.
0/1 pasos
ETAPA 04
Comprobar lo aprendido
Respondé sin copiar la explicación: vinculá el concepto con la evidencia y explicá qué dato podría cambiar tu conclusión.
0/2 pasos
COMPROBACIÓN FINAL · 1 PREGUNTA
Comprobá lo aprendido
Elegí una respuesta en cada pregunta. Para registrar la clase, todas deben ser correctas. Si te equivocás, revisá la pista y volvé a intentarlo.
Esta clase incluye práctica guiada. Pro suma la ruta N0–N6, 28 integradores de módulo y 36 laboratorios completos independientes, además de informes y progreso guardado.
