RC-N0-M04 · GUIADO

Laboratorio y resolución básica

Preparar un entorno seguro y resolver fallos sin destruir contexto.

8 clases4 herramientas1 caso integrador9 h 30 min–12 h 20 min clases base · aprox. · sin integrador

Autonomía del nivel. Instrucciones detalladas, comandos enseñados, ejemplos anotados y pistas frecuentes.

CASO TRANSVERSAL

Asteria Logistics S.A.Inventario y estación de trabajo

El equipo necesita conocer sus activos y conservar evidencia antes de hacer cambios.

ESTADO OPERATIVOBorrador local

Clases base acreditadas: 0/6
Informes aprobados: 0
Evidencias acumuladas: 0
Revisiones pendientes: 0
Integrador: Preparación
Competencia más débil: commands · 0%

MAPA DE COMPETENCIAS · NICE TKS

Habilidades y conocimientos.

Vas a poder hacer, comprender y demostrar estas competencias con evidencias de las clases.

NICE 2.2.0

Tareas profesionales

LC-T-N0-M04-01Diseñar un laboratorio aislado para practicar sin tocar el equipo principal.Qué es una máquina virtualTarea aplicada y entrega: Recursos asignados, red virtual, disco e instantánea.
LC-T-N0-M04-02Revisar una configuración insegura y corregir su exposición.Crear una VM segura de prácticaTarea aplicada y entrega: RAM, CPU, disco, NAT, portapapeles y carpetas compartidas.
LC-T-N0-M04-03Definir puntos de control y una prueba de restauración.Snapshots y recuperaciónTarea aplicada y entrega: Snapshot, estado, fecha, dependencia y rollback.
LC-T-N0-M04-04Comparar tres topologías y seleccionar la menos expuesta.Redes de laboratorio: NAT y host-onlyTarea aplicada y entrega: Interfaz, gateway, alcance y exposición.
LC-T-N0-M04-05Investigar una estación lenta sin reiniciar ni limpiar evidencia.Diagnóstico básico de rendimientoTarea aplicada y entrega: Línea base, proceso, espera de disco y memoria.
LC-T-N0-M04-06Entregar una estación documentada con checklist de seguridad y prueba de restauración.Caso final: preparar tu estación de analistaTarea aplicada y entrega: Inventario, configuración, snapshot, hash y bitácora.
LC-T-N0-M04-07Revisar una topología de VM y reducir interfaces, rutas y servicios antes de iniciar una práctica.Red de práctica y exposición mínimaTarea aplicada y entrega: NAT, host-only, interfaz, gateway y superficie.
LC-T-N0-M04-08Diseñar un cierre reproducible con snapshot, inventario, archivos de trabajo y datos sanitizados.Checklist de cierre y limpieza seguraTarea aplicada y entrega: Snapshot, hash, artefacto, limpieza y registro.

Conocimientos

LC-K-N0-M04-01Diferenciar host, hipervisor, invitado, imagen y snapshot.Qué es una máquina virtualDiagnóstico, demostración anotada y micropráctica de “Qué es una máquina virtual”.
LC-K-N0-M04-02Configurar recursos mínimos y una red apropiada para el objetivo.Crear una VM segura de prácticaDiagnóstico, demostración anotada y micropráctica de “Crear una VM segura de práctica”.
LC-K-N0-M04-03Usar estados recuperables antes de una práctica que puede alterar el sistema.Snapshots y recuperaciónDiagnóstico, demostración anotada y micropráctica de “Snapshots y recuperación”.
LC-K-N0-M04-04Elegir conectividad según aislamiento, acceso a internet y comunicación entre VMs.Redes de laboratorio: NAT y host-onlyDiagnóstico, demostración anotada y micropráctica de “Redes de laboratorio: NAT y host-only”.
LC-K-N0-M04-05Pasar de un síntoma a métricas comparables de CPU, memoria, disco y red.Diagnóstico básico de rendimientoDiagnóstico, demostración anotada y micropráctica de “Diagnóstico básico de rendimiento”.
LC-K-N0-M04-06Integrar sistema, terminal, permisos, evidencia y recuperación.Caso final: preparar tu estación de analistaDiagnóstico, demostración anotada y micropráctica de “Caso final: preparar tu estación de analista”.
LC-K-N0-M04-07Elegir una red de laboratorio que permita practicar sin exponer servicios innecesarios.Red de práctica y exposición mínimaDiagnóstico, demostración anotada y micropráctica de “Red de práctica y exposición mínima”.
LC-K-N0-M04-08Cerrar una práctica preservando evidencias útiles y retirando artefactos temporales.Checklist de cierre y limpieza seguraDiagnóstico, demostración anotada y micropráctica de “Checklist de cierre y limpieza segura”.

Habilidades

LC-S-N0-M04-01Producir recursos asignados, red virtual, disco e instantánea con una fuente verificable.Qué es una máquina virtualLaboratorio individual, validación de evidencia e informe final.
LC-S-N0-M04-02Producir ram, cpu, disco, nat, portapapeles y carpetas compartidas con una fuente verificable.Crear una VM segura de prácticaLaboratorio individual, validación de evidencia e informe final.
LC-S-N0-M04-03Producir snapshot, estado, fecha, dependencia y rollback con una fuente verificable.Snapshots y recuperaciónLaboratorio individual, validación de evidencia e informe final.
LC-S-N0-M04-04Producir interfaz, gateway, alcance y exposición con una fuente verificable.Redes de laboratorio: NAT y host-onlyLaboratorio individual, validación de evidencia e informe final.
LC-S-N0-M04-05Producir línea base, proceso, espera de disco y memoria con una fuente verificable.Diagnóstico básico de rendimientoLaboratorio individual, validación de evidencia e informe final.
LC-S-N0-M04-06Producir inventario, configuración, snapshot, hash y bitácora con una fuente verificable.Caso final: preparar tu estación de analistaLaboratorio individual, validación de evidencia e informe final.
LC-S-N0-M04-07Producir nat, host-only, interfaz, gateway y superficie con una fuente verificable.Red de práctica y exposición mínimaLaboratorio individual, validación de evidencia e informe final.
LC-S-N0-M04-08Producir snapshot, hash, artefacto, limpieza y registro con una fuente verificable.Checklist de cierre y limpieza seguraLaboratorio individual, validación de evidencia e informe final.

ROLES RELACIONADOS

IO-WRL-007Technical SupportImplementation and Operation

IO-WRL-005Systems AdministrationImplementation and Operation

Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.

CASO TRANSVERSAL · MUNDO PERSISTENTE

Asteria cambia; su historia no se reinicia.

Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.

N0 · CAPÍTULO 04

SEDES Y SERVICIOS

Asteria Logistics S.A.

⌁ Buenos Aires · sede central

⌁ Córdoba · centro operativo

⌁ Montevideo · oficina regional

ACTIVOS EN ALCANCE

DC-BA-01

Directorio, DNS y autenticación

Infraestructura

ERP-BA-01

Facturación y órdenes

Finanzas

FS-BA-01

Archivos corporativos

Tecnología

WEB-DMZ-01

Portal público

Plataforma

IDENTIDADES CONOCIDAS

Lucía Ferrer · l.ferrer

Cuentas por pagar

L–V · 08:30–17:30 · Buenos Aires

Sofía Ríos · s.rios

Recursos Humanos

L–V · 09:00–18:00 · Buenos Aires

TELEMETRÍA DISPONIBLE

InventarioSistema operativoDNSRed

Cambio más reciente

Se incorporó LAP-FIN-042 al inventario y todavía falta validar su propietario técnico.

LÍNEA BASE

✓ Horario laboral de Finanzas

✓ Respaldo diario de svc_backup

✓ Cambios de TI asociados a ticket

LÍNEA TEMPORAL DE ASTERIA

La organización acumula cambios, excepciones e incidentes.

Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.

1 hitos

2026-01Activo
Inventario inicial
DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.
Contexto activo en este módulo

MAPA DE DEPENDENCIAS

Conocimientos y conexiones.

Qué necesitás, qué construís y dónde vuelve a aparecer.

TRAZABILIDAD CURRICULAR

ANTES

Conocimientos requeridos

Navegación básica

Lectura cuidadosa

Separar hecho de interpretación

EN ESTE MÓDULO

Secuencia de construcción

01Qué es una máquina virtual

02Crear una VM segura de práctica

03Snapshots y recuperación

04Redes de laboratorio: NAT y host-only

05Diagnóstico básico de rendimiento

06Caso final: preparar tu estación de analista

DESPUÉS

Se reutiliza en

N1 · investigación con evidencia distribuida

Laboratorios integradores

Revisiones intercaladas

ESCENARIO DE APLICACIÓN

Soporte e inventario

Recibís un equipo que no coincide con el inventario y debés describirlo antes de cambiarlo. El rol es el punto de vista de este caso, no el único perfil profesional de la ruta.

CASO DE PRÁCTICA

CONDICIONES DEL ESCENARIO

○ Instrucciones detalladas

○ Solo lectura

○ Escalamiento al responsable

ENTREGABLES DEL EJERCICIO

✓ Inventario técnico

✓ Nota de diagnóstico

✓ Próximo paso

CRITERIO DE ÉXITO

Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.

HERRAMIENTAS DE OPERACIÓN · DESDE CERO

La consola cambia; el método permanece.

En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.

4 herramientas

Laboratorio · aislamiento

VirtualBox

Crear snapshots y redes aisladas para practicar sin tocar equipos reales.

¿Por qué la vas a usar?

La vas a usar para crear una computadora virtual aislada y volver atrás si una práctica cambia algo.

Cómo instalarla o acceder

Descargá VirtualBox desde el sitio oficial y verificá la firma del instalador.

La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.

Primera comprobaciónVBoxManage --version

Consulta profesionalVBoxManage snapshot 'Analyst-Lab' take 'before-lab-01'

Crear y restaurar un punto de recuperación.

Ficha de topologíaDocumentación oficial ↗

Terminal · Linux

Bash

La base para consultar archivos, procesos, permisos y logs en endpoints Linux.

¿Por qué la vas a usar?

La vas a usar para leer carpetas, archivos, procesos y registros en Linux sin modificar el equipo.

Cómo instalarla o acceder

Linux y macOS: normalmente ya está instalado.

La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.

Primera comprobaciónbash --version

Consulta profesionalfind /var/log -maxdepth 2 -type f -name '*.log' -print

Ubicar el expediente y enumerar archivos sin abrirlos todos.

Inventario reproducibleDocumentación oficial ↗

Terminal · Windows

PowerShell

Consulta estructurada de Windows, eventos, servicios, procesos y objetos de administración.

¿Por qué la vas a usar?

La vas a usar para consultar Windows y recibir datos ordenados sobre procesos, eventos y configuración.

Cómo instalarla o acceder

Windows: PowerShell viene integrado; verificá la versión antes de usar sintaxis avanzada.

La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.

Primera comprobación$PSVersionTable.PSVersion

Consulta profesionalGet-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-24)}

Leer eventos con filtros de log, ID y ventana temporal.

Tabla de eventosDocumentación oficial ↗

Red · PCAP

Wireshark / TShark

Capturar y analizar paquetes, conversaciones, DNS, TLS y HTTP con filtros reproducibles.

¿Por qué la vas a usar?

La vas a usar para ver cómo se comunican los equipos y seguir una conversación de red paso a paso.

Cómo instalarla o acceder

Linux: sudo apt install wireshark tshark.

La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.

Primera comprobaciónwireshark --version

Consulta profesionaltshark -r case.pcapng -Y 'dns.qry.name' -T fields -e frame.time -e ip.src -e dns.qry.name

Leer una captura sin abrir la interfaz gráfica.

Resumen de PCAPDocumentación oficial ↗

Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.

CLASES DEL MÓDULO

Cada clase produce evidencia reutilizable.

Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final. Las extensiones agregan profundidad sin reabrir el integrador base.

8 clases

EXPEDIENTE ACUMULATIVO DE ASTERIA

Evidencia para el integrador.

El integrador comienza con lo que ya produjiste: consultas, comandos, evidencia, informes y decisiones quedan asociados a la clase que los originó.

0 evidencias

ClaseEvidenciasComandosInformeEstado

Qué es una máquina virtual00PendienteEn curso

Crear una VM segura de práctica00PendienteEn curso

Snapshots y recuperación00PendienteEn curso

Redes de laboratorio: NAT y host-only00PendienteEn curso

Diagnóstico básico de rendimiento00PendienteEn curso

Caso final: entorno de práctica00PendienteEn curso

Red de práctica y exposición mínima00PendienteEn curso

Checklist de cierre y limpieza segura00PendienteEn curso

Decisiones e hipótesis descartadas

Todavía no agregaste una decisión transversal.

CONTROLES INTERMEDIOS · CANTIDAD VARIABLE

Corregí el rumbo antes del laboratorio final.

Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.

0/2 resueltos

CONTROL 1

La snapshot no vuelve igual

Restaurar una instantánea anterior no elimina un cambio que se creía revertido.

Fuente ARAM, CPU, disco, NAT, portapapeles y carpetas compartidasFuente BSnapshot, estado, fecha, dependencia y rollback

¿Qué parte del entorno revisás para explicar por qué la restauración no fue completa?

CONTROL 2

Otra VM, misma exposición

Una segunda máquina virtual quedó con la misma red compartida que ya se había señalado como insegura en la primera.

Fuente ANAT, host-only, interfaz, gateway y superficieFuente BSnapshot, hash, artefacto, limpieza y registro

¿Qué corregís primero y cómo lo verificás sin reiniciar todo el laboratorio?

PANEL DE DOMINIO

Tu avance separado por capacidad.

Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.

5 CAPACIDADES INDEPENDIENTES

ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas

Inicial0%

AnálisisInterpretación y límites0 clases con actividad registrada

Inicial0%

InvestigaciónPráctica interactiva y pivotes0 clases con práctica interactiva

Inicial0%

DocumentaciónFuente, tiempo y entregable0 informes acreditados

Inicial0%

AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador

Inicial0%

INTEGRADOR FINAL DEL MÓDULO

Laboratorio y resolución básica · expediente integrador

Asteria Logistics inicia el inventario de sus estaciones, usuarios y recursos compartidos antes de ampliar la operación regional. El equipo necesita conocer sus activos y conservar evidencia antes de hacer cambios. En este expediente vas a reunir lo aprendido en las 8 clases sin recibir una conclusión predeterminada. Es una actividad de cierre propia del módulo, distinta de los laboratorios completos del catálogo.

PRO

Caso integrador del módulo.

Un caso largo que une todo el módulo. Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.

Desbloquear con Pro ↗

DIAGNÓSTICO FINAL · COMPARACIÓN

Resolvé una variante y compará cómo cambió tu criterio.

No repite las opciones en el mismo orden. Mide decisiones, errores que desaparecieron y áreas que todavía requieren práctica.

4 decisiones · 6 min

Disponible al acreditar todas las clases.

El diagnóstico inicial nunca bloquea; esta comparación aparece al final para medir transferencia real.

REFERENCIAS Y VIGENCIA

Contenido trazable, comprobado y preparado para revisión.

PRÓXIMA REVISIÓN · Revisión continua

NICE

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

Ver marco oficial ↗

MITRE ATT&CK

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

System Information Discovery · Process Discovery · File and Directory Discovery

Ver estrategias de detección ↗

VERSIÓN

3.2.0 · actualizada Recientemente

VirtualBox · Bash · PowerShell · Wireshark / TShark · imágenes, logs y capturas sanitizadas de práctica

Última verificación práctica: Revisión reciente · clases base, extensiones, fixtures, timestamps y claves de evaluación

HERRAMIENTAS AFECTADAS

VirtualBox

Bash

PowerShell

Wireshark / TShark

COMANDOS COMPROBADOS

✓ VirtualBox: VBoxManage snapshot 'Analyst-Lab' take 'before-lab-01'

✓ Bash: find /var/log -maxdepth 2 -type f -name '*.log' -print

✓ PowerShell: Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-24)}

✓ Wireshark / TShark: tshark -r case.pcapng -Y 'dns.qry.name' -T fields -e frame.time -e ip.src -e dns.qry.name

FUENTES PROFESIONALES

NICE Framework Components v2.2.0

MITRE ATT&CK v19.2

VirtualBox · documentación oficial

Bash · documentación oficial

PowerShell · documentación oficial

CAMBIOS DE ESTA VERSIÓN

+ Catálogo SOC por nivel y herramienta

+ 56 extensiones prácticas opcionales sin invalidar acreditaciones

+ Laboratorios con evidencia sin etiquetas de solución

+ Traducción técnica y fuentes profesionales revisadas

Laboratorio y resolución básica · expediente integrador

Laboratorio y resolución básica

Tareas profesionales

Conocimientos

Habilidades

Asteria Logistics S.A.

Cambio más reciente

Inventario inicial

Conocimientos requeridos

Secuencia de construcción

Se reutiliza en

VirtualBox

Bash

PowerShell

Wireshark / TShark

Decisiones e hipótesis descartadas

Caso integrador del módulo.

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

3.2.0 · actualizada Recientemente

Preparando tu espacio.

Laboratorio y resolución básica

Tareas profesionales

Conocimientos

Habilidades

Asteria Logistics S.A.

Cambio más reciente

Inventario inicial

Conocimientos requeridos

Secuencia de construcción

Se reutiliza en

VirtualBox

Bash

PowerShell

Wireshark / TShark

Decisiones e hipótesis descartadas

Caso integrador del módulo.

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

3.2.0 · actualizada Recientemente