La CuevaBLUE TEAM
Rutas›N2›Operación Linux

RC-N2-M02 · ASISTIDO

Operación Linux

Procesos, demonios, permisos, shell y persistencia en Linux.

6 clases4 herramientas SOC1 caso integrador

Autonomía del nivel. La evidencia aparece distribuida entre fuentes y las ayudas dejan de indicar el orden exacto.

CASO TRANSVERSAL
Asteria Logistics S.A.Endpoints e identidades

Procesos, privilegios y autenticaciones ya deben correlacionarse entre más de una fuente.

ESTADO OPERATIVOBorrador local
Clases acreditadas
0/6
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%

MAPA DE COMPETENCIAS · NICE TKS

Lo que vas a poder hacer, comprender y demostrar.

NICE 2.2.0
T

Tareas profesionales

  • LC-T-N2-M02-01Comparar un proceso activo con su binario y sesión.Procesos, señales y estados LinuxTarea aplicada y entrega: ps, /proc, usuario, estado y comando.
  • LC-T-N2-M02-02Investigar un servicio fallido y explicar su secuencia.systemd, servicios y journaldTarea aplicada y entrega: Unit, ExecStart, PID, journal y exit code.
  • LC-T-N2-M02-03Detectar un privilegio innecesario sin asumir abuso.Usuarios, grupos y sudoersTarea aplicada y entrega: UID, EUID, grupos, regla sudo y log.
  • LC-T-N2-M02-04Reconstruir un acceso remoto desde auth.log y procesos.SSH, claves y sesiones remotasTarea aplicada y entrega: IP, usuario, método, fingerprint y shell.
  • LC-T-N2-M02-05Encontrar una entrada nueva y verificar su propietario.Cron, perfiles y persistenciaTarea aplicada y entrega: Cron, profile, systemd timer, ruta y timestamp.
  • LC-T-N2-M02-06Correlacionar comandos con audit/logs y declarar huecos.Bash, historial y límites de evidenciaTarea aplicada y entrega: history, auditd, proceso, TTY y timestamp.
K

Conocimientos

  • LC-K-N2-M02-01Interpretar PID, PPID, estado, usuario y consumo.Procesos, señales y estados LinuxDiagnóstico, demostración anotada y micropráctica de “Procesos, señales y estados Linux”.
  • LC-K-N2-M02-02Relacionar unidad, proceso y registro de servicio.systemd, servicios y journaldDiagnóstico, demostración anotada y micropráctica de “systemd, servicios y journald”.
  • LC-K-N2-M02-03Comprender identidad real, efectiva y elevación.Usuarios, grupos y sudoersDiagnóstico, demostración anotada y micropráctica de “Usuarios, grupos y sudoers”.
  • LC-K-N2-M02-04Seguir autenticación, origen, clave y proceso de sesión.SSH, claves y sesiones remotasDiagnóstico, demostración anotada y micropráctica de “SSH, claves y sesiones remotas”.
  • LC-K-N2-M02-05Revisar mecanismos de inicio programado y por sesión.Cron, perfiles y persistenciaDiagnóstico, demostración anotada y micropráctica de “Cron, perfiles y persistencia”.
  • LC-K-N2-M02-06Usar historial como pista, no como registro completo.Bash, historial y límites de evidenciaDiagnóstico, demostración anotada y micropráctica de “Bash, historial y límites de evidencia”.
S

Habilidades

  • LC-S-N2-M02-01Producir ps, /proc, usuario, estado y comando con una fuente verificable.Procesos, señales y estados LinuxLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M02-02Producir unit, execstart, pid, journal y exit code con una fuente verificable.systemd, servicios y journaldLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M02-03Producir uid, euid, grupos, regla sudo y log con una fuente verificable.Usuarios, grupos y sudoersLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M02-04Producir ip, usuario, método, fingerprint y shell con una fuente verificable.SSH, claves y sesiones remotasLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M02-05Producir cron, profile, systemd timer, ruta y timestamp con una fuente verificable.Cron, perfiles y persistenciaLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N2-M02-06Producir history, auditd, proceso, tty y timestamp con una fuente verificable.Bash, historial y límites de evidenciaLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
IO-WRL-005Systems AdministrationImplementation and Operation
IO-WRL-006Systems Security AnalysisImplementation and Operation

Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.

DIAGNÓSTICO INICIAL · NO BLOQUEANTE

¿Estás listo para operación linux?

Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.

4 decisiones · 6 min
01Ante “Comparar un proceso activo con su binario y sesión.”, ¿qué evidencia mínima responde mejor la pregunta?
02Ante “Investigar un servicio fallido y explicar su secuencia.”, ¿qué evidencia mínima responde mejor la pregunta?
03Ante “Detectar un privilegio innecesario sin asumir abuso.”, ¿qué evidencia mínima responde mejor la pregunta?
04Correlacionar comandos con audit/logs y declarar huecos. ¿Cuál sería el primer movimiento defendible?
Continuar sin diagnóstico

CASO TRANSVERSAL · MUNDO PERSISTENTE

Asteria cambia; su historia no se reinicia.

Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.

N2 · CAPÍTULO 02
SEDES Y SERVICIOS

Asteria Logistics S.A.

⌁ Buenos Aires · sede central

⌁ Córdoba · centro operativo

⌁ Montevideo · oficina regional

ACTIVOS EN ALCANCE
FS-BA-01

Archivos corporativos

Tecnología
WEB-DMZ-01

Portal público

Plataforma
LAP-FIN-042

Estación de cuentas por pagar

Lucía Ferrer
WS-RRHH-017

Estación de Recursos Humanos

Sofía Ríos
IDENTIDADES CONOCIDAS
Lucía Ferrer · l.ferrer

Cuentas por pagar

L–V · 08:30–17:30 · Buenos Aires
Sofía Ríos · s.rios

Recursos Humanos

L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega

Soporte de TI

Turno rotativo · acceso administrativo aprobado
TELEMETRÍA DISPONIBLE
Windows Event LogsEDRActive DirectoryCorreoRed

Cambio más reciente

LAP-IT-008 recibió acceso temporal de soporte con vencimiento definido.

LÍNEA BASE

✓ Usuarios estándar sin administración local

✓ Cuentas privilegiadas separadas

✓ Procesos inventariados por EDR

LÍNEA TEMPORAL DE ASTERIA

La organización acumula cambios, excepciones e incidentes.

Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.

3 hitos
  1. Activo

    Inventario inicial

    DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.

  2. Infraestructura

    Conectividad regional

    Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.

  3. Identidad

    Active Directory

    Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.

    Contexto activo en este módulo

MAPA DE DEPENDENCIAS

Qué necesitás, qué construís y dónde vuelve a aparecer.

TRAZABILIDAD CURRICULAR
ANTES

Conocimientos requeridos

Procesos y archivos

Identidad y permisos

EN ESTE MÓDULO

Secuencia de construcción

01Procesos, señales y estados Linux

02systemd, servicios y journald

03Usuarios, grupos y sudoers

04SSH, claves y sesiones remotas

05Cron, perfiles y persistencia

06Bash, historial y límites de evidencia

DESPUÉS

Se reutiliza en

N3 · investigación con evidencia distribuida

Laboratorios integradores

Revisiones intercaladas

SIMULACIÓN LABORAL ESPECÍFICA

Administración e identidades

Una cuenta y un proceso aparecen en fuentes distintas; tenés que reconstruir su contexto efectivo.

CONTEXTO DE TURNO
CONDICIONES REALES

○ Evidencia distribuida

○ Privilegios temporales

○ Ayuda parcial

LO QUE PRODUCIRÍA EL ANALISTA

✓ Árbol o sesión

✓ Timeline

✓ Plan de preservación

CRITERIO DE ÉXITO

Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.

HERRAMIENTAS DE OPERACIÓN · DESDE CERO

La consola cambia; el método permanece.

En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.

4 herramientas
Terminal · Linux

Bash

La base para consultar archivos, procesos, permisos y logs en endpoints Linux.

PRIMER PASO

Linux y macOS: normalmente ya está instalado.

VERIFICACIÓNbash --version
CONSULTA PROFESIONALfind /var/log -maxdepth 2 -type f -name '*.log' -print

Ubicar el expediente y enumerar archivos sin abrirlos todos.

Inventario reproducibleDocumentación oficial ↗
Endpoint · SQL

osquery

Consultar procesos, usuarios, software, red y configuración con SQL portable.

PRIMER PASO

Linux: sudo apt install osquery.

VERIFICACIÓNosqueryi --version
CONSULTA PROFESIONALosqueryi 'SELECT pid,name,path,cmdline FROM processes LIMIT 10;'

Consultar tablas normalizadas del endpoint.

Consulta de endpointDocumentación oficial ↗
Endpoint · telemetría

Sysmon

Telemetría detallada de procesos, red, archivos, registro y DNS en Windows.

PRIMER PASO

Descargá Sysmon desde Microsoft Sysinternals.

VERIFICACIÓNsysmon64.exe -? 2>&1 | Select-Object -First 8
CONSULTA PROFESIONALsysmon64.exe -accepteula -i sysmonconfig.xml

Instalar el servicio con una configuración autorizada.

Árbol de procesos con ProcessGuidDocumentación oficial ↗
DFIR · endpoint

Velociraptor

Adquisición y hunting de endpoints mediante VQL y artefactos.

PRIMER PASO

Descargá el binario oficial o usá el servidor de práctica de la academia.

VERIFICACIÓNvelociraptor version
CONSULTA PROFESIONALvelociraptor query 'SELECT * FROM info()'

Ejecutar una consulta VQL de lectura sobre un endpoint de práctica.

VQL de huntingDocumentación oficial ↗

Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.

CLASES DEL MÓDULO

Cada clase produce evidencia reutilizable.

Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final.

6 expedientes
  1. 01
    Procesos, señales y estados Linux

    Interpretar PID, PPID, estado, usuario y consumo.

    78–98 min · evidencia: ps, /proc, usuario, estado y comando
    LABPRO0%→
  2. 02
    systemd, servicios y journald

    Relacionar unidad, proceso y registro de servicio.

    78–98 min · evidencia: Unit, ExecStart, PID, journal y exit code
    LABPRO0%🔒
  3. 03
    Usuarios, grupos y sudoers

    Comprender identidad real, efectiva y elevación.

    78–98 min · evidencia: UID, EUID, grupos, regla sudo y log
    LABPRO0%🔒
  4. 04
    SSH, claves y sesiones remotas

    Seguir autenticación, origen, clave y proceso de sesión.

    78–98 min · evidencia: IP, usuario, método, fingerprint y shell
    LABPRO0%🔒
  5. 05
    Cron, perfiles y persistencia

    Revisar mecanismos de inicio programado y por sesión.

    96–116 min · evidencia: Cron, profile, systemd timer, ruta y timestamp
    LABPRO0%🔒
  6. 06
    Bash, historial y límites de evidencia

    Usar historial como pista, no como registro completo.

    78–98 min · evidencia: history, auditd, proceso, TTY y timestamp
    LABPRO0%🔒

EXPEDIENTE ACUMULATIVO DE ASTERIA

El integrador comienza con lo que ya produjiste.

Consultas, comandos, evidencia, informes y decisiones quedan asociados a la clase que los originó.

0 evidencias
ClaseEvidenciasComandosInformeEstado
Usuarios, grupos y sudoers00PendienteEn curso

Decisiones e hipótesis descartadas

Todavía no agregaste una decisión transversal.

CONTROLES INTERMEDIOS · CANTIDAD VARIABLE

Corregí el rumbo antes del laboratorio final.

Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.

0/1 resueltos
CONTROL 1

Caso de transferencia

Otra área de Asteria presenta una señal equivalente a “systemd, servicios y journald”, con una fuente contradictoria.

Fuente Aps, /proc, usuario, estado y comandoFuente Bhistory, auditd, proceso, TTY y timestamp

PANEL DE DOMINIO

Tu avance separado por capacidad.

Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.

5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 expedientes con autoridad
Inicial0%
InvestigaciónLaboratorios y pivotes0 laboratorios observados
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%

LABORATORIO FINAL INTEGRADOR

Operación Linux · expediente integrador

La organización incorporó Active Directory, servidores Linux, servicios compartidos y cuentas técnicas. Procesos, privilegios y autenticaciones ya deben correlacionarse entre más de una fuente. En este expediente vas a reunir lo aprendido en las 6 clases sin recibir una conclusión predeterminada.

PRO

Un caso largo para unir todo el módulo.

Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.

Desbloquear con Pro ↗

DIAGNÓSTICO FINAL · COMPARACIÓN

Resolvé una variante y compará cómo cambió tu criterio.

No repite las opciones en el mismo orden. Mide decisiones, errores que desaparecieron y áreas que todavía requieren práctica.

4 decisiones · 6 min
Disponible al acreditar todas las clases.

El diagnóstico inicial nunca bloquea; esta comparación aparece al final para medir transferencia real.

REFERENCIAS Y VIGENCIA

Contenido trazable, comprobado y preparado para revisión.

PRÓXIMA REVISIÓN · 24 de noviembre de 2026
NICE

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

Ver marco oficial ↗
MITRE ATT&CK

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

Command and Scripting Interpreter · Create or Modify System Process · Account Discovery

Ver estrategias de detección ↗
VERSIÓN

3.2.0 · actualizada 24 de agosto de 2026

Bash · osquery · Sysmon · Velociraptor · imágenes, logs y capturas sanitizadas de práctica

Última verificación práctica: 24 de agosto de 2026 · comandos, fixtures, timestamps y claves de evaluación
HERRAMIENTAS AFECTADAS

Bash

osquery

Sysmon

Velociraptor

COMANDOS COMPROBADOS

✓ Bash: find /var/log -maxdepth 2 -type f -name '*.log' -print

✓ osquery: osqueryi 'SELECT pid,name,path,cmdline FROM processes LIMIT 10;'

✓ Sysmon: sysmon64.exe -accepteula -i sysmonconfig.xml

✓ Velociraptor: velociraptor query 'SELECT * FROM info()'

FUENTES PROFESIONALES

NICE Framework Components v2.2.0

MITRE ATT&CK v19.2

Bash · documentación oficial

osquery · documentación oficial

Sysmon · documentación oficial

CAMBIOS DE ESTA VERSIÓN

+ Catálogo SOC por nivel y herramienta

+ 12 clases canónicas sin duplicados

+ Laboratorios con evidencia sin etiquetas de solución

+ Traducción técnica y fuentes profesionales revisadas