← Todas las rutasRUTA N2 · 34 CLASES
CONTENIDO DE LA RUTA
Una capa a la vez.
Avanzás después de probar cada etapa en la práctica. Investigar actividad de sistemas, explicar accesos y construir una línea temporal básica. Las clases combinan fundamentos, comandos explicados, preguntas con feedback y actividades de práctica guiada. Además, cada módulo cierra con su propio integrador; esos integradores se distinguen de los laboratorios completos del catálogo.
34 clases55 actividades guiadas4 integradores de módulo5 labs completos del catálogo
HERRAMIENTAS EN ESTA RUTA
SysinternalsPowerShellSysmonosqueryBashVelociraptorBloodHoundWazuhZeek
SECCIÓN 1
Internos de Windows →
Procesos, servicios, registro y persistencia en estaciones Windows.
Relacionar árbol de procesos, cuenta, ruta, firma y evento.SysinternalsPowerShellSysmonosquery
9 clasesAbrir módulo
- 01Procesos, servicios y sesiones en WindowsDistinguir proceso interactivo, servicio y sesión.1 h 45 min–2 h 15 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 02Procesos, servicios y sesionesRelacionar el árbol de procesos con el servicio, usuario, ruta y comportamiento observado.1 h 55 min–2 h 30 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 03Árboles de procesos y línea de comandosInterpretar relaciones padre-hijo y argumentos.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 04Servicios y Service Control ManagerComprender inicio, cuenta de servicio y binario asociado.1 h 40 min–2 h 5 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 05Registro de Windows como evidenciaUbicar configuración persistente sin tratar cada clave como maliciosa.1 h 50 min–2 h 20 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 06Tareas programadas y persistenciaReconocer disparadores, acciones y cuentas de ejecución.2 h 10 min–2 h 45 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 07PowerShell y trazabilidadLeer host, script block, proceso padre y política de registro.1 h 50 min–2 h 20 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 08Sysmon y telemetría de procesoElegir eventos de Sysmon para reconstruir procesos, conexiones y archivos.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 09Registro de Windows con criterioInterpretar claves de registro como configuración, persistencia o evidencia de uso según el contexto.1 h 55 min–2 h 25 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
SECCIÓN 2
Operación Linux →
Procesos, demonios, permisos, shell y persistencia en Linux.
Combinar estado actual con logs para evitar una fotografía incompleta.BashosquerySysmonVelociraptor
8 clasesAbrir módulo
- 01Procesos, señales y estados LinuxInterpretar PID, PPID, estado, usuario y consumo.1 h 50 min–2 h 25 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 02systemd, servicios y journaldRelacionar unidad, proceso y registro de servicio.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 03Usuarios, grupos y sudoersComprender identidad real, efectiva y elevación.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 04SSH, claves y sesiones remotasSeguir autenticación, origen, clave y proceso de sesión.1 h 50 min–2 h 20 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 05Cron, perfiles y persistenciaRevisar mecanismos de inicio programado y por sesión.2 h 5 min–2 h 45 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 06Bash, historial y límites de evidenciaUsar historial como pista, no como registro completo.1 h 50 min–2 h 25 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 07systemd, journalctl y unidadesSeguir el ciclo de un servicio Linux desde su unidad hasta sus eventos.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 08SSH, claves y bastionRelacionar autenticación SSH, material de clave y host de salto con una sesión observada.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
SECCIÓN 3
Identidad y Active Directory →
Cuentas, grupos, privilegios y autenticación en entornos corporativos.
Seguir la identidad desde el inicio de sesión hasta el recurso accedido.PowerShellSysmonosqueryBloodHound
8 clasesAbrir módulo
- 01Identidad local, dominio y servicioDiferenciar cuentas según alcance y propósito.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 02Grupos y privilegios efectivosCalcular acceso a partir de membresías directas e indirectas.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 03Autenticación NTLM y Kerberos inicialComprender credenciales, tickets y validación sin entrar aún en ataques avanzados.2 h 5 min–2 h 45 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 04Eventos de inicio de sesión WindowsInterpretar tipo de logon, resultado, origen y cuenta.1 h 50 min–2 h 20 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 05Cuentas privilegiadas y separación de funcionesAplicar mínima autoridad y cuentas administrativas separadas.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 06Ciclo de vida de una identidadSeguir alta, cambios, accesos, revisión y baja.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 07Kerberos: tickets y señalesExplicar autenticación Kerberos, tickets y límites de una observación aislada.2 h 20 min–3 h · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 08Grupos privilegiados y delegaciónMapear cómo una cuenta obtiene privilegios por grupo, delegación o pertenencia indirecta.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
SECCIÓN 4
Logs y líneas temporales →
Convertir eventos dispersos en una secuencia defendible.
Normalizar tiempo, identificar entidades y marcar confianza.WazuhosqueryPowerShellZeek
9 clasesAbrir módulo
- 01Dónde nace cada registroComprender qué componente genera un evento y qué visibilidad tiene.1 h 40 min–2 h 5 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 02Logs, identidades y comandos de administraciónCorrelacionar cuenta, host, comando y horario sin confundir administración legítima con abuso.1 h 45 min–2 h 15 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 03Normalización de timestampsAlinear zona horaria, formato, reloj y precisión.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 04Eventos relevantes y contextoElegir eventos por la pregunta que responden.1 h 40 min–2 h 10 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 05Correlación por entidadUnir usuario, host, proceso, IP y archivo entre fuentes.2 h 5 min–2 h 40 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 06Construir un timeline breveSeparar orden observado, inferido y desconocido.2 h 5 min–2 h 40 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 07Caso final: explicar actividad de endpointIntegrar Windows, Linux, identidad y logs.1 h 45 min–2 h 15 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 08Normalización y zonas horariasConvertir timestamps de fuentes distintas sin perder precisión ni procedencia.1 h 35 min–2 h 5 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
- 09Retención, gaps y calidad de logsDetectar huecos, duplicados y cambios de retención antes de concluir que no ocurrió actividad.1 h 40 min–2 h 5 min · fundamentos · comandos · práctica guiada · evaluaciónPRÁCTICAPRO→
RESULTADOS DEL NIVEL · N2
Resultados observables.
Investigar actividad de sistemas, explicar accesos y construir una línea temporal básica.
La evidencia aparece distribuida entre fuentes y las ayudas dejan de indicar el orden exacto. El rol ilustra un escenario de práctica; no representa el único perfil profesional de la ruta.
Relacionan algunas tareas y habilidades del nivel con una taxonomía de referencia; no definen un puesto laboral ni una certificación.
Las referencias aparecen dentro del contexto de cada módulo para que sepas por qué una fuente o técnica importa.