RC-N1-M01 · GUIADO

Modelo de red y TCP/IP

La conversación que ocurre debajo de cada aplicación.

8 clases4 herramientas1 caso integrador10 h 15 min–13 h 15 min clases base · aprox. · sin integrador

Autonomía del nivel. Procedimientos paso a paso con decisiones pequeñas y evidencia de red contextualizada.

CASO TRANSVERSAL

Asteria Logistics S.A.Conectividad entre sedes

Aparecen fallos intermitentes, cambios de resolución y flujos que deben explicarse por capas.

ESTADO OPERATIVOBorrador local

Clases base acreditadas: 0/6
Informes aprobados: 0
Evidencias acumuladas: 0
Revisiones pendientes: 0
Integrador: Preparación
Competencia más débil: commands · 0%

MAPA DE COMPETENCIAS · NICE TKS

Habilidades y conocimientos.

Vas a poder hacer, comprender y demostrar estas competencias con evidencias de las clases.

NICE 2.2.0

Tareas profesionales

LC-T-N1-M01-01Ordenar los eventos de una solicitud web completa.TCP/IP, DNS y HTTP en una sola historiaTarea aplicada y entrega: Consulta DNS, IP, puerto, conexión y código HTTP.
LC-T-N1-M01-02Relacionar una conexión con su proceso y servicio esperado.Direcciones, puertos y socketsTarea aplicada y entrega: IP local/remota, puerto local/remoto, PID y estado.
LC-T-N1-M01-03Clasificar seis problemas según la capa donde pueden observarse.Capas OSI sin memorizar una listaTarea aplicada y entrega: Trama, paquete, segmento, sesión y aplicación.
LC-T-N1-M01-04Calcular el alcance de una subred y validar si dos hosts comparten red.IPv4, máscaras y subredesTarea aplicada y entrega: Dirección, máscara, prefijo, red y broadcast.
LC-T-N1-M01-05Diferenciar link-local, global y multicast en una captura.IPv6, SLAAC y vecindadTarea aplicada y entrega: IPv6, prefijo, NDP, SLAAC e ICMPv6.
LC-T-N1-M01-06Comparar tres flujos y describir pérdida, orden y respuesta.TCP, UDP e ICMPTarea aplicada y entrega: Flags TCP, datagrama UDP, ICMP y RTT.
LC-T-N1-M01-07Comparar dos capturas y distinguir un problema de MTU de una caída de servicio.MTU, fragmentación y retransmisionesTarea aplicada y entrega: MTU, fragmento, MSS, retransmisión y RTT.
LC-T-N1-M01-08Correlacionar dirección, alcance, DNS y proceso antes de priorizar una anomalía.IPv6 y dual stack en el triageTarea aplicada y entrega: AAAA, link-local, global, NDP y ruta.

Conocimientos

LC-K-N1-M01-01Seguir una navegación desde el nombre hasta la respuesta de la aplicación.TCP/IP, DNS y HTTP en una sola historiaDiagnóstico, demostración anotada y micropráctica de “TCP/IP, DNS y HTTP en una sola historia”.
LC-K-N1-M01-02Interpretar una conexión como dos extremos y un estado.Direcciones, puertos y socketsDiagnóstico, demostración anotada y micropráctica de “Direcciones, puertos y sockets”.
LC-K-N1-M01-03Usar el modelo por capas para ubicar fallos y evidencia.Capas OSI sin memorizar una listaDiagnóstico, demostración anotada y micropráctica de “Capas OSI sin memorizar una lista”.
LC-K-N1-M01-04Comprender red, host, prefijo y broadcast para ubicar un equipo.IPv4, máscaras y subredesDiagnóstico, demostración anotada y micropráctica de “IPv4, máscaras y subredes”.
LC-K-N1-M01-05Reconocer direcciones IPv6, alcance y descubrimiento de vecinos.IPv6, SLAAC y vecindadDiagnóstico, demostración anotada y micropráctica de “IPv6, SLAAC y vecindad”.
LC-K-N1-M01-06Elegir qué protocolo explica una comunicación y qué garantía ofrece.TCP, UDP e ICMPDiagnóstico, demostración anotada y micropráctica de “TCP, UDP e ICMP”.
LC-K-N1-M01-07Explicar cómo tamaño, fragmentación y pérdida alteran una conversación de red.MTU, fragmentación y retransmisionesDiagnóstico, demostración anotada y micropráctica de “MTU, fragmentación y retransmisiones”.
LC-K-N1-M01-08Investigar una conexión cuando IPv4 e IPv6 conviven y producen rutas distintas.IPv6 y dual stack en el triageDiagnóstico, demostración anotada y micropráctica de “IPv6 y dual stack en el triage”.

Habilidades

LC-S-N1-M01-01Producir consulta dns, ip, puerto, conexión y código http con una fuente verificable.TCP/IP, DNS y HTTP en una sola historiaLaboratorio individual, validación de evidencia e informe final.
LC-S-N1-M01-02Producir ip local/remota, puerto local/remoto, pid y estado con una fuente verificable.Direcciones, puertos y socketsLaboratorio individual, validación de evidencia e informe final.
LC-S-N1-M01-03Producir trama, paquete, segmento, sesión y aplicación con una fuente verificable.Capas OSI sin memorizar una listaLaboratorio individual, validación de evidencia e informe final.
LC-S-N1-M01-04Producir dirección, máscara, prefijo, red y broadcast con una fuente verificable.IPv4, máscaras y subredesLaboratorio individual, validación de evidencia e informe final.
LC-S-N1-M01-05Producir ipv6, prefijo, ndp, slaac e icmpv6 con una fuente verificable.IPv6, SLAAC y vecindadLaboratorio individual, validación de evidencia e informe final.
LC-S-N1-M01-06Producir flags tcp, datagrama udp, icmp y rtt con una fuente verificable.TCP, UDP e ICMPLaboratorio individual, validación de evidencia e informe final.
LC-S-N1-M01-07Producir mtu, fragmento, mss, retransmisión y rtt con una fuente verificable.MTU, fragmentación y retransmisionesLaboratorio individual, validación de evidencia e informe final.
LC-S-N1-M01-08Producir aaaa, link-local, global, ndp y ruta con una fuente verificable.IPv6 y dual stack en el triageLaboratorio individual, validación de evidencia e informe final.

ROLES RELACIONADOS

IO-WRL-004Network OperationsImplementation and Operation

PD-WRL-001Defensive CybersecurityProtection and Defense

Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.

CASO TRANSVERSAL · MUNDO PERSISTENTE

Asteria cambia; su historia no se reinicia.

Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.

N1 · CAPÍTULO 01

SEDES Y SERVICIOS

Asteria Logistics S.A.

⌁ Buenos Aires · sede central

⌁ Córdoba · centro operativo

⌁ Montevideo · oficina regional

ACTIVOS EN ALCANCE

ERP-BA-01

Facturación y órdenes

Finanzas

FS-BA-01

Archivos corporativos

Tecnología

WEB-DMZ-01

Portal público

Plataforma

LAP-FIN-042

Estación de cuentas por pagar

Lucía Ferrer

IDENTIDADES CONOCIDAS

Lucía Ferrer · l.ferrer

Cuentas por pagar

L–V · 08:30–17:30 · Buenos Aires

Sofía Ríos · s.rios

Recursos Humanos

L–V · 09:00–18:00 · Buenos Aires

Martín Vega · m.vega

Soporte de TI

Turno rotativo · acceso administrativo aprobado

TELEMETRÍA DISPONIBLE

InventarioSistema operativoDNSRed

Cambio más reciente

La sede Córdoba comenzó a usar un nuevo rango de red documentado en CHG-2041.

LÍNEA BASE

✓ DNS interno en DC-BA-01

✓ VPN para personal remoto

✓ Portal público separado en DMZ

LÍNEA TEMPORAL DE ASTERIA

La organización acumula cambios, excepciones e incidentes.

Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.

2 hitos

2026-01Activo
Inventario inicial
DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.
2026-02Infraestructura
Conectividad regional
Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.
Contexto activo en este módulo

MAPA DE DEPENDENCIAS

Conocimientos y conexiones.

Qué necesitás, qué construís y dónde vuelve a aparecer.

TRAZABILIDAD CURRICULAR

ANTES

Conocimientos requeridos

Procesos y archivos

Identidad y permisos

EN ESTE MÓDULO

Secuencia de construcción

01TCP/IP, DNS y HTTP en una sola historia

02Direcciones, puertos y sockets

03Capas OSI sin memorizar una lista

04IPv4, máscaras y subredes

05IPv6, SLAAC y vecindad

06TCP, UDP e ICMP

DESPUÉS

Se reutiliza en

N2 · investigación con evidencia distribuida

Laboratorios integradores

Revisiones intercaladas

ESCENARIO DE APLICACIÓN

Operaciones de red

Un servicio regional presenta fallos y tráfico fuera de patrón durante una ventana de cambios. El rol es el punto de vista de este caso, no el único perfil profesional de la ruta.

CASO DE PRÁCTICA

CONDICIONES DEL ESCENARIO

○ Captura parcial

○ DNS central

○ Cambio CHG-2041

ENTREGABLES DEL EJERCICIO

✓ Mapa de flujo

✓ Filtros

✓ Hipótesis limitada

CRITERIO DE ÉXITO

Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.

HERRAMIENTAS DE OPERACIÓN · DESDE CERO

La consola cambia; el método permanece.

En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.

4 herramientas

Red · PCAP

Wireshark / TShark

Capturar y analizar paquetes, conversaciones, DNS, TLS y HTTP con filtros reproducibles.

¿Por qué la vas a usar?

La vas a usar para ver cómo se comunican los equipos y seguir una conversación de red paso a paso.

Cómo instalarla o acceder

Linux: sudo apt install wireshark tshark.

La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.

Primera comprobaciónwireshark --version

Consulta profesionaltshark -r case.pcapng -Y 'dns.qry.name' -T fields -e frame.time -e ip.src -e dns.qry.name

Leer una captura sin abrir la interfaz gráfica.

Resumen de PCAPDocumentación oficial ↗

Red · captura

tcpdump

Captura y lectura de paquetes desde terminal para una primera comprobación rápida.

¿Por qué la vas a usar?

La vas a usar para comprobar rápidamente si existe tráfico y guardar una muestra autorizada.

Cómo instalarla o acceder

Linux: sudo apt install tcpdump.

La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.

Primera comprobacióntcpdump --version

Consulta profesionalsudo tcpdump -i any -nn -c 20 'host 10.20.1.15 and port 443'

Observar una muestra acotada de tráfico.

Muestra de tráficoDocumentación oficial ↗

Terminal · Linux

Bash

La base para consultar archivos, procesos, permisos y logs en endpoints Linux.

¿Por qué la vas a usar?

La vas a usar para leer carpetas, archivos, procesos y registros en Linux sin modificar el equipo.

Cómo instalarla o acceder

Linux y macOS: normalmente ya está instalado.

La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.

Primera comprobaciónbash --version

Consulta profesionalfind /var/log -maxdepth 2 -type f -name '*.log' -print

Ubicar el expediente y enumerar archivos sin abrirlos todos.

Inventario reproducibleDocumentación oficial ↗

Terminal · Windows

PowerShell

Consulta estructurada de Windows, eventos, servicios, procesos y objetos de administración.

¿Por qué la vas a usar?

La vas a usar para consultar Windows y recibir datos ordenados sobre procesos, eventos y configuración.

Cómo instalarla o acceder

Windows: PowerShell viene integrado; verificá la versión antes de usar sintaxis avanzada.

La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.

Primera comprobación$PSVersionTable.PSVersion

Consulta profesionalGet-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-24)}

Leer eventos con filtros de log, ID y ventana temporal.

Tabla de eventosDocumentación oficial ↗

Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.

CLASES DEL MÓDULO

Cada clase produce evidencia reutilizable.

Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final. Las extensiones agregan profundidad sin reabrir el integrador base.

8 clases

EXPEDIENTE ACUMULATIVO DE ASTERIA

Evidencia para el integrador.

El integrador comienza con lo que ya produjiste: consultas, comandos, evidencia, informes y decisiones quedan asociados a la clase que los originó.

0 evidencias

ClaseEvidenciasComandosInformeEstado

TCP/IP, DNS y HTTP00PendienteEn curso

Direcciones, puertos y sockets00PendienteEn curso

Capas OSI sin memorizar una lista00PendienteEn curso

IPv4, máscaras y subredes00PendienteEn curso

IPv6, SLAAC y vecindad00PendienteEn curso

TCP, UDP e ICMP00PendienteEn curso

MTU, fragmentación y retransmisiones00PendienteEn curso

IPv6 y dual stack en el triage00PendienteEn curso

Decisiones e hipótesis descartadas

Todavía no agregaste una decisión transversal.

CONTROLES INTERMEDIOS · CANTIDAD VARIABLE

Corregí el rumbo antes del laboratorio final.

Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.

0/2 resueltos

CONTROL 1

La misma IP, dos puertos distintos

La sede de Córdoba reporta una conexión al mismo servidor que Buenos Aires, pero por un puerto diferente al esperado.

Fuente AIP local/remota, puerto local/remoto, PID y estadoFuente BTrama, paquete, segmento, sesión y aplicación

¿Qué capa revisás primero: aplicación, transporte o red?

CONTROL 2

Un DNS que resuelve distinto

El mismo nombre de dominio resuelve a direcciones distintas según la estación que hace la consulta.

Fuente AMTU, fragmento, MSS, retransmisión y RTTFuente BAAAA, link-local, global, NDP y ruta

¿Qué parte de la infraestructura DNS comparás antes de sospechar de un desvío?

PANEL DE DOMINIO

Tu avance separado por capacidad.

Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.

5 CAPACIDADES INDEPENDIENTES

ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas

Inicial0%

AnálisisInterpretación y límites0 clases con actividad registrada

Inicial0%

InvestigaciónPráctica interactiva y pivotes0 clases con práctica interactiva

Inicial0%

DocumentaciónFuente, tiempo y entregable0 informes acreditados

Inicial0%

AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador

Inicial0%

INTEGRADOR FINAL DEL MÓDULO

Modelo de red y TCP/IP · expediente integrador

Asteria conecta Buenos Aires, su centro operativo de Córdoba y la oficina de Montevideo mediante VPN y servicios centrales. Aparecen fallos intermitentes, cambios de resolución y flujos que deben explicarse por capas. En este expediente vas a reunir lo aprendido en las 8 clases sin recibir una conclusión predeterminada. Es una actividad de cierre propia del módulo, distinta de los laboratorios completos del catálogo.

PRO

Caso integrador del módulo.

Un caso largo que une todo el módulo. Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.

Desbloquear con Pro ↗

DIAGNÓSTICO FINAL · COMPARACIÓN

Resolvé una variante y compará cómo cambió tu criterio.

No repite las opciones en el mismo orden. Mide decisiones, errores que desaparecieron y áreas que todavía requieren práctica.

4 decisiones · 6 min

Disponible al acreditar todas las clases.

El diagnóstico inicial nunca bloquea; esta comparación aparece al final para medir transferencia real.

REFERENCIAS Y VIGENCIA

Contenido trazable, comprobado y preparado para revisión.

PRÓXIMA REVISIÓN · Revisión continua

NICE

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

Ver marco oficial ↗

MITRE ATT&CK

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

System Network Configuration Discovery · Network Service Discovery · Application Layer Protocol

Ver estrategias de detección ↗

VERSIÓN

3.2.0 · actualizada Recientemente

Wireshark / TShark · tcpdump · Bash · PowerShell · imágenes, logs y capturas sanitizadas de práctica

Última verificación práctica: Revisión reciente · clases base, extensiones, fixtures, timestamps y claves de evaluación

HERRAMIENTAS AFECTADAS

Wireshark / TShark

tcpdump

Bash

PowerShell

COMANDOS COMPROBADOS

✓ Wireshark / TShark: tshark -r case.pcapng -Y 'dns.qry.name' -T fields -e frame.time -e ip.src -e dns.qry.name

✓ tcpdump: sudo tcpdump -i any -nn -c 20 'host 10.20.1.15 and port 443'

✓ Bash: find /var/log -maxdepth 2 -type f -name '*.log' -print

✓ PowerShell: Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-24)}

FUENTES PROFESIONALES

NICE Framework Components v2.2.0

MITRE ATT&CK v19.2

Wireshark / TShark · documentación oficial

tcpdump · documentación oficial

Bash · documentación oficial

CAMBIOS DE ESTA VERSIÓN

+ Catálogo SOC por nivel y herramienta

+ 56 extensiones prácticas opcionales sin invalidar acreditaciones

+ Laboratorios con evidencia sin etiquetas de solución

+ Traducción técnica y fuentes profesionales revisadas

Modelo de red y TCP/IP · expediente integrador

Modelo de red y TCP/IP

Tareas profesionales

Conocimientos

Habilidades

Asteria Logistics S.A.

Cambio más reciente

Inventario inicial

Conectividad regional

Conocimientos requeridos

Secuencia de construcción

Se reutiliza en

Wireshark / TShark

tcpdump

Bash

PowerShell

Decisiones e hipótesis descartadas

Caso integrador del módulo.

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

3.2.0 · actualizada Recientemente

Preparando tu espacio.

Modelo de red y TCP/IP

Tareas profesionales

Conocimientos

Habilidades

Asteria Logistics S.A.

Cambio más reciente

Inventario inicial

Conectividad regional

Conocimientos requeridos

Secuencia de construcción

Se reutiliza en

Wireshark / TShark

tcpdump

Bash

PowerShell

Decisiones e hipótesis descartadas

Caso integrador del módulo.

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

3.2.0 · actualizada Recientemente