La CuevaBLUE TEAM
Rutas›N2›Identidad y Active Directory

RC-N2-M03 · ASISTIDO

Identidad y Active Directory

Cuentas, grupos, privilegios y autenticación en entornos corporativos.

6 clases4 herramientas SOC1 caso integrador

Autonomía del nivel. La evidencia aparece distribuida entre fuentes y las ayudas dejan de indicar el orden exacto.

CASO TRANSVERSAL
Asteria Logistics S.A.Endpoints e identidades

Procesos, privilegios y autenticaciones ya deben correlacionarse entre más de una fuente.

ESTADO OPERATIVOBorrador local
Clases acreditadas
0/6
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%

MAPA DE COMPETENCIAS · NICE TKS

Lo que vas a poder hacer, comprender y demostrar.

NICE 2.2.0
T

Tareas profesionales

  • LC-T-N2-M03-01Clasificar identidades y riesgos de administración.Identidad local, dominio y servicioTarea aplicada y entrega: SID, dominio, tipo de cuenta, dueño y rotación.
  • LC-T-N2-M03-02Detectar un privilegio heredado que excede la función.Grupos y privilegios efectivosTarea aplicada y entrega: Grupo, nesting, ACL, token y recurso.
  • LC-T-N2-M03-03Ordenar un flujo de autenticación de dominio.Autenticación NTLM y Kerberos inicialTarea aplicada y entrega: KDC, ticket, servicio, cuenta y host.
  • LC-T-N2-M03-04Comparar logons interactivos, de red y de servicio.Eventos de inicio de sesión WindowsTarea aplicada y entrega: 4624, 4625, logon type, source y workstation.
  • LC-T-N2-M03-05Revisar un acceso crítico sin justificación vigente.Cuentas privilegiadas y separación de funcionesTarea aplicada y entrega: Rol, privilegio, aprobación, duración y uso.
  • LC-T-N2-M03-06Detectar una cuenta huérfana y proponer validación.Ciclo de vida de una identidadTarea aplicada y entrega: Owner, fecha, último uso, grupos y expiración.
K

Conocimientos

  • LC-K-N2-M03-01Diferenciar cuentas según alcance y propósito.Identidad local, dominio y servicioDiagnóstico, demostración anotada y micropráctica de “Identidad local, dominio y servicio”.
  • LC-K-N2-M03-02Calcular acceso a partir de membresías directas e indirectas.Grupos y privilegios efectivosDiagnóstico, demostración anotada y micropráctica de “Grupos y privilegios efectivos”.
  • LC-K-N2-M03-03Comprender credenciales, tickets y validación sin entrar aún en ataques avanzados.Autenticación NTLM y Kerberos inicialDiagnóstico, demostración anotada y micropráctica de “Autenticación NTLM y Kerberos inicial”.
  • LC-K-N2-M03-04Interpretar tipo de logon, resultado, origen y cuenta.Eventos de inicio de sesión WindowsDiagnóstico, demostración anotada y micropráctica de “Eventos de inicio de sesión Windows”.
  • LC-K-N2-M03-05Aplicar mínima autoridad y cuentas administrativas separadas.Cuentas privilegiadas y separación de funcionesDiagnóstico, demostración anotada y micropráctica de “Cuentas privilegiadas y separación de funciones”.
  • LC-K-N2-M03-06Seguir alta, cambios, accesos, revisión y baja.Ciclo de vida de una identidadDiagnóstico, demostración anotada y micropráctica de “Ciclo de vida de una identidad”.
S

Habilidades

  • LC-S-N2-M03-01Producir sid, dominio, tipo de cuenta, dueño y rotación con una fuente verificable.Identidad local, dominio y servicioLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M03-02Producir grupo, nesting, acl, token y recurso con una fuente verificable.Grupos y privilegios efectivosLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M03-03Producir kdc, ticket, servicio, cuenta y host con una fuente verificable.Autenticación NTLM y Kerberos inicialLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M03-04Producir 4624, 4625, logon type, source y workstation con una fuente verificable.Eventos de inicio de sesión WindowsLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M03-05Producir rol, privilegio, aprobación, duración y uso con una fuente verificable.Cuentas privilegiadas y separación de funcionesLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M03-06Producir owner, fecha, último uso, grupos y expiración con una fuente verificable.Ciclo de vida de una identidadLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
IO-WRL-005Systems AdministrationImplementation and Operation
IO-WRL-006Systems Security AnalysisImplementation and Operation

Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.

DIAGNÓSTICO INICIAL · NO BLOQUEANTE

¿Estás listo para identidad y active directory?

Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.

4 decisiones · 6 min
01Ante “Clasificar identidades y riesgos de administración.”, ¿qué evidencia mínima responde mejor la pregunta?
02Ante “Detectar un privilegio heredado que excede la función.”, ¿qué evidencia mínima responde mejor la pregunta?
03Ante “Ordenar un flujo de autenticación de dominio.”, ¿qué evidencia mínima responde mejor la pregunta?
04Detectar una cuenta huérfana y proponer validación. ¿Cuál sería el primer movimiento defendible?
Continuar sin diagnóstico

CASO TRANSVERSAL · MUNDO PERSISTENTE

Asteria cambia; su historia no se reinicia.

Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.

N2 · CAPÍTULO 03
SEDES Y SERVICIOS

Asteria Logistics S.A.

⌁ Buenos Aires · sede central

⌁ Córdoba · centro operativo

⌁ Montevideo · oficina regional

ACTIVOS EN ALCANCE
FS-BA-01

Archivos corporativos

Tecnología
WEB-DMZ-01

Portal público

Plataforma
LAP-FIN-042

Estación de cuentas por pagar

Lucía Ferrer
WS-RRHH-017

Estación de Recursos Humanos

Sofía Ríos
IDENTIDADES CONOCIDAS
Lucía Ferrer · l.ferrer

Cuentas por pagar

L–V · 08:30–17:30 · Buenos Aires
Sofía Ríos · s.rios

Recursos Humanos

L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega

Soporte de TI

Turno rotativo · acceso administrativo aprobado
TELEMETRÍA DISPONIBLE
Windows Event LogsEDRActive DirectoryCorreoRed

Cambio más reciente

LAP-IT-008 recibió acceso temporal de soporte con vencimiento definido.

LÍNEA BASE

✓ Usuarios estándar sin administración local

✓ Cuentas privilegiadas separadas

✓ Procesos inventariados por EDR

LÍNEA TEMPORAL DE ASTERIA

La organización acumula cambios, excepciones e incidentes.

Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.

3 hitos
  1. Activo

    Inventario inicial

    DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.

  2. Infraestructura

    Conectividad regional

    Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.

  3. Identidad

    Active Directory

    Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.

    Contexto activo en este módulo

MAPA DE DEPENDENCIAS

Qué necesitás, qué construís y dónde vuelve a aparecer.

TRAZABILIDAD CURRICULAR
ANTES

Conocimientos requeridos

Procesos y archivos

Identidad y permisos

EN ESTE MÓDULO

Secuencia de construcción

01Identidad local, dominio y servicio

02Grupos y privilegios efectivos

03Autenticación NTLM y Kerberos inicial

04Eventos de inicio de sesión Windows

05Cuentas privilegiadas y separación de funciones

06Ciclo de vida de una identidad

DESPUÉS

Se reutiliza en

N3 · investigación con evidencia distribuida

Laboratorios integradores

Revisiones intercaladas

SIMULACIÓN LABORAL ESPECÍFICA

Administración e identidades

Una cuenta y un proceso aparecen en fuentes distintas; tenés que reconstruir su contexto efectivo.

CONTEXTO DE TURNO
CONDICIONES REALES

○ Evidencia distribuida

○ Privilegios temporales

○ Ayuda parcial

LO QUE PRODUCIRÍA EL ANALISTA

✓ Árbol o sesión

✓ Timeline

✓ Plan de preservación

CRITERIO DE ÉXITO

Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.

HERRAMIENTAS DE OPERACIÓN · DESDE CERO

La consola cambia; el método permanece.

En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.

4 herramientas
Terminal · Windows

PowerShell

Consulta estructurada de Windows, eventos, servicios, procesos y objetos de administración.

PRIMER PASO

Windows: PowerShell viene integrado; verificá la versión antes de usar sintaxis avanzada.

VERIFICACIÓN$PSVersionTable.PSVersion
CONSULTA PROFESIONALGet-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-24)}

Leer eventos con filtros de log, ID y ventana temporal.

Tabla de eventosDocumentación oficial ↗
Endpoint · telemetría

Sysmon

Telemetría detallada de procesos, red, archivos, registro y DNS en Windows.

PRIMER PASO

Descargá Sysmon desde Microsoft Sysinternals.

VERIFICACIÓNsysmon64.exe -? 2>&1 | Select-Object -First 8
CONSULTA PROFESIONALsysmon64.exe -accepteula -i sysmonconfig.xml

Instalar el servicio con una configuración autorizada.

Árbol de procesos con ProcessGuidDocumentación oficial ↗
Endpoint · SQL

osquery

Consultar procesos, usuarios, software, red y configuración con SQL portable.

PRIMER PASO

Linux: sudo apt install osquery.

VERIFICACIÓNosqueryi --version
CONSULTA PROFESIONALosqueryi 'SELECT pid,name,path,cmdline FROM processes LIMIT 10;'

Consultar tablas normalizadas del endpoint.

Consulta de endpointDocumentación oficial ↗
Identidad · AD graph

BloodHound

Visualizar relaciones y rutas de privilegio para fortalecer Active Directory.

PRIMER PASO

Usá el despliegue oficial o una VM de laboratorio con un dominio ficticio.

VERIFICACIÓNAbrí el grafo y cargá datos de un dominio de prueba.
CONSULTA PROFESIONALGet-ADUser -Identity 'svc-lab' -Properties Enabled,LastLogonDate,MemberOf

Consultar objetos de usuario y atributos en un dominio autorizado.

Mapa de privilegiosDocumentación oficial ↗

Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.

CLASES DEL MÓDULO

Cada clase produce evidencia reutilizable.

Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final.

6 expedientes
  1. 01
    Identidad local, dominio y servicio

    Diferenciar cuentas según alcance y propósito.

    78–98 min · evidencia: SID, dominio, tipo de cuenta, dueño y rotación
    LABPRO0%→
  2. 02
    Grupos y privilegios efectivos

    Calcular acceso a partir de membresías directas e indirectas.

    78–98 min · evidencia: Grupo, nesting, ACL, token y recurso
    LABPRO0%🔒
  3. 03
    Autenticación NTLM y Kerberos inicial

    Comprender credenciales, tickets y validación sin entrar aún en ataques avanzados.

    96–116 min · evidencia: KDC, ticket, servicio, cuenta y host
    LABPRO0%🔒
  4. 04
    Eventos de inicio de sesión Windows

    Interpretar tipo de logon, resultado, origen y cuenta.

    78–98 min · evidencia: 4624, 4625, logon type, source y workstation
    LABPRO0%🔒
  5. 05
    Cuentas privilegiadas y separación de funciones

    Aplicar mínima autoridad y cuentas administrativas separadas.

    78–98 min · evidencia: Rol, privilegio, aprobación, duración y uso
    LABPRO0%🔒
  6. 06
    Ciclo de vida de una identidad

    Seguir alta, cambios, accesos, revisión y baja.

    78–98 min · evidencia: Owner, fecha, último uso, grupos y expiración
    LABPRO0%🔒

EXPEDIENTE ACUMULATIVO DE ASTERIA

El integrador comienza con lo que ya produjiste.

Consultas, comandos, evidencia, informes y decisiones quedan asociados a la clase que los originó.

0 evidencias
ClaseEvidenciasComandosInformeEstado

Decisiones e hipótesis descartadas

Todavía no agregaste una decisión transversal.

CONTROLES INTERMEDIOS · CANTIDAD VARIABLE

Corregí el rumbo antes del laboratorio final.

Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.

0/1 resueltos
CONTROL 1

Caso de transferencia

Otra área de Asteria presenta una señal equivalente a “Grupos y privilegios efectivos”, con una fuente contradictoria.

Fuente ASID, dominio, tipo de cuenta, dueño y rotaciónFuente BOwner, fecha, último uso, grupos y expiración

PANEL DE DOMINIO

Tu avance separado por capacidad.

Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.

5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 expedientes con autoridad
Inicial0%
InvestigaciónLaboratorios y pivotes0 laboratorios observados
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%

LABORATORIO FINAL INTEGRADOR

Identidad y Active Directory · expediente integrador

La organización incorporó Active Directory, servidores Linux, servicios compartidos y cuentas técnicas. Procesos, privilegios y autenticaciones ya deben correlacionarse entre más de una fuente. En este expediente vas a reunir lo aprendido en las 6 clases sin recibir una conclusión predeterminada.

PRO

Un caso largo para unir todo el módulo.

Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.

Desbloquear con Pro ↗

DIAGNÓSTICO FINAL · COMPARACIÓN

Resolvé una variante y compará cómo cambió tu criterio.

No repite las opciones en el mismo orden. Mide decisiones, errores que desaparecieron y áreas que todavía requieren práctica.

4 decisiones · 6 min
Disponible al acreditar todas las clases.

El diagnóstico inicial nunca bloquea; esta comparación aparece al final para medir transferencia real.

REFERENCIAS Y VIGENCIA

Contenido trazable, comprobado y preparado para revisión.

PRÓXIMA REVISIÓN · 24 de noviembre de 2026
NICE

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

Ver marco oficial ↗
MITRE ATT&CK

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

Command and Scripting Interpreter · Create or Modify System Process · Account Discovery

Ver estrategias de detección ↗
VERSIÓN

3.2.0 · actualizada 24 de agosto de 2026

PowerShell · Sysmon · osquery · BloodHound · imágenes, logs y capturas sanitizadas de práctica

Última verificación práctica: 24 de agosto de 2026 · comandos, fixtures, timestamps y claves de evaluación
HERRAMIENTAS AFECTADAS

PowerShell

Sysmon

osquery

BloodHound

COMANDOS COMPROBADOS

✓ PowerShell: Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-24)}

✓ Sysmon: sysmon64.exe -accepteula -i sysmonconfig.xml

✓ osquery: osqueryi 'SELECT pid,name,path,cmdline FROM processes LIMIT 10;'

✓ BloodHound: Get-ADUser -Identity 'svc-lab' -Properties Enabled,LastLogonDate,MemberOf

FUENTES PROFESIONALES

NICE Framework Components v2.2.0

MITRE ATT&CK v19.2

PowerShell · documentación oficial

Sysmon · documentación oficial

osquery · documentación oficial

CAMBIOS DE ESTA VERSIÓN

+ Catálogo SOC por nivel y herramienta

+ 12 clases canónicas sin duplicados

+ Laboratorios con evidencia sin etiquetas de solución

+ Traducción técnica y fuentes profesionales revisadas