La CuevaBLUE TEAM
Rutas›N4›Alertas de identidad

RC-N4-M03 · OPERACIÓN SOC L1

Alertas de identidad

Logins anómalos, MFA, password spraying y privilegios.

7 clases4 herramientas SOC1 caso integrador

Autonomía del nivel. Cola, SLA, priorización, ticket, confianza y escalamiento reproducible.

CASO TRANSVERSAL
Asteria Logistics S.A.Operación SOC L1

El volumen obliga a priorizar, documentar las 5W y entregar un handoff reproducible.

ESTADO OPERATIVOBorrador local
Clases acreditadas
0/7
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%

MAPA DE COMPETENCIAS · NICE TKS

Lo que vas a poder hacer, comprender y demostrar.

NICE 2.2.0
T

Tareas profesionales

  • LC-T-N4-M03-01Separar viaje imposible real de telemetría incompleta.Login imposible y geovelocityTarea aplicada y entrega: Cuenta, IP, ASN, dispositivo, hora y MFA.
  • LC-T-N4-M03-02Ordenar una cola de logins con ruido, MFA y contexto de negocio.Logins anómalos y prioridad SOCTarea aplicada y entrega: Usuario, IP, dispositivo, MFA, riesgo, SLA y decisión.
  • LC-T-N4-M03-03Priorizar una cuenta con señales de presión y acceso.MFA fatigue y aprobaciones inesperadasTarea aplicada y entrega: Prompt, resultado, dispositivo, IP y sesión.
  • LC-T-N4-M03-04Distinguir spray de error individual y brute force.Password sprayingTarea aplicada y entrega: Origen, cuentas, frecuencia, resultado y periodo.
  • LC-T-N4-M03-05Preparar un flujo seguro de validación y reset.Cuenta bloqueada y recuperaciónTarea aplicada y entrega: Bloqueo, origen, dispositivo, owner y cambio.
  • LC-T-N4-M03-06Escalar una actividad administrativa sin cambio aprobado.Uso de cuenta privilegiadaTarea aplicada y entrega: Cuenta, host, recurso, comando y ticket.
  • LC-T-N4-M03-07Entregar una hipótesis de compromiso con acciones iniciales.Caso final: compromiso de identidadTarea aplicada y entrega: Primer acceso, sesiones, tokens, cambios y usuarios.
K

Conocimientos

  • LC-K-N4-M03-01Evaluar distancia, tiempo, VPN, sesión y confirmación del usuario.Login imposible y geovelocityDiagnóstico, demostración anotada y micropráctica de “Login imposible y geovelocity”.
  • LC-K-N4-M03-02Distinguir una señal de autenticación anómala de un compromiso confirmado y priorizarla dentro de SLA.Logins anómalos y prioridad SOCDiagnóstico, demostración anotada y micropráctica de “Logins anómalos y prioridad SOC”.
  • LC-K-N4-M03-03Reconocer secuencias de prompts y aceptación.MFA fatigue y aprobaciones inesperadasDiagnóstico, demostración anotada y micropráctica de “MFA fatigue y aprobaciones inesperadas”.
  • LC-K-N4-M03-04Detectar pocos intentos sobre muchas cuentas en una ventana.Password sprayingDiagnóstico, demostración anotada y micropráctica de “Password spraying”.
  • LC-K-N4-M03-05Investigar causa sin debilitar controles ni borrar evidencia.Cuenta bloqueada y recuperaciónDiagnóstico, demostración anotada y micropráctica de “Cuenta bloqueada y recuperación”.
  • LC-K-N4-M03-06Relacionar acceso, función, ticket y acción realizada.Uso de cuenta privilegiadaDiagnóstico, demostración anotada y micropráctica de “Uso de cuenta privilegiada”.
  • LC-K-N4-M03-07Integrar autenticaciones, MFA, endpoints y alcance.Caso final: compromiso de identidadDiagnóstico, demostración anotada y micropráctica de “Caso final: compromiso de identidad”.
S

Habilidades

  • LC-S-N4-M03-01Producir cuenta, ip, asn, dispositivo, hora y mfa con una fuente verificable.Login imposible y geovelocityLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N4-M03-02Producir usuario, ip, dispositivo, mfa, riesgo, sla y decisión con una fuente verificable.Logins anómalos y prioridad SOCLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N4-M03-03Producir prompt, resultado, dispositivo, ip y sesión con una fuente verificable.MFA fatigue y aprobaciones inesperadasLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N4-M03-04Producir origen, cuentas, frecuencia, resultado y periodo con una fuente verificable.Password sprayingLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N4-M03-05Producir bloqueo, origen, dispositivo, owner y cambio con una fuente verificable.Cuenta bloqueada y recuperaciónLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N4-M03-06Producir cuenta, host, recurso, comando y ticket con una fuente verificable.Uso de cuenta privilegiadaLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N4-M03-07Producir primer acceso, sesiones, tokens, cambios y usuarios con una fuente verificable.Caso final: compromiso de identidadLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
PD-WRL-001Defensive CybersecurityProtection and Defense
PD-WRL-003Incident ResponseProtection and Defense

Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.

DIAGNÓSTICO INICIAL · NO BLOQUEANTE

¿Estás listo para alertas de identidad?

Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.

4 decisiones · 6 min
01Ante “Separar viaje imposible real de telemetría incompleta.”, ¿qué evidencia mínima responde mejor la pregunta?
02Ante “Ordenar una cola de logins con ruido, MFA y contexto de negocio.”, ¿qué evidencia mínima responde mejor la pregunta?
03Ante “Priorizar una cuenta con señales de presión y acceso.”, ¿qué evidencia mínima responde mejor la pregunta?
04Entregar una hipótesis de compromiso con acciones iniciales. ¿Cuál sería el primer movimiento defendible?
Continuar sin diagnóstico

CASO TRANSVERSAL · MUNDO PERSISTENTE

Asteria cambia; su historia no se reinicia.

Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.

N4 · CAPÍTULO 03
SEDES Y SERVICIOS

Asteria Logistics S.A.

⌁ Buenos Aires · sede central

⌁ Córdoba · centro operativo

⌁ Montevideo · oficina regional

ACTIVOS EN ALCANCE
LAP-FIN-042

Estación de cuentas por pagar

Lucía Ferrer
WS-RRHH-017

Estación de Recursos Humanos

Sofía Ríos
LAP-IT-008

Soporte y administración

Martín Vega
VPN-GW-01

Acceso remoto

Infraestructura
IDENTIDADES CONOCIDAS
Lucía Ferrer · l.ferrer

Cuentas por pagar

L–V · 08:30–17:30 · Buenos Aires
Sofía Ríos · s.rios

Recursos Humanos

L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega

Soporte de TI

Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta

Infraestructura

Cuenta privilegiada separada · cambios con ticket
TELEMETRÍA DISPONIBLE
SIEMEDRIdPVPNCorreoFirewallTickets

Cambio más reciente

La cola incorporó alertas de identidad con una ventana de ingestión de hasta seis minutos.

LÍNEA BASE

✓ SLA según criticidad

✓ Triage con fuente original

✓ Escalamiento con 5W y confianza

LÍNEA TEMPORAL DE ASTERIA

La organización acumula cambios, excepciones e incidentes.

Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.

5 hitos
  1. Activo

    Inventario inicial

    DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.

  2. Infraestructura

    Conectividad regional

    Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.

  3. Identidad

    Active Directory

    Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.

  4. Control

    Telemetría central

    EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.

  5. Operación

    Apertura del SOC

    Se define cola, prioridad, SLA, 5W y handoff entre turnos.

    Contexto activo en este módulo

MAPA DE DEPENDENCIAS

Qué necesitás, qué construís y dónde vuelve a aparecer.

TRAZABILIDAD CURRICULAR
ANTES

Conocimientos requeridos

Procesos y archivos

Identidad y permisos

Timestamps y procedencia

EN ESTE MÓDULO

Secuencia de construcción

01Login imposible y geovelocity

02Logins anómalos y prioridad SOC

03MFA fatigue y aprobaciones inesperadas

04Password spraying

05Cuenta bloqueada y recuperación

06Uso de cuenta privilegiada

DESPUÉS

Se reutiliza en

N5 · investigación con evidencia distribuida

Laboratorios integradores

Revisiones intercaladas

RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3

La investigación forma parte de un sistema de gestión.

NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.

  1. 01Governprepara y reduce riesgo
  2. 02Identifyprepara y reduce riesgo
  3. 03Protectprepara y reduce riesgo
  4. 04Detectrespuesta al incidente
  5. 05Respondrespuesta al incidente
  6. 06Recoverrespuesta al incidente

SIMULACIÓN LABORAL ESPECÍFICA

Turno SOC L1

Atendés una cola con SLA y recibís evidencia nueva que cambia la prioridad del ticket.

CONTEXTO DE TURNO
CONDICIONES REALES

○ SLA activo

○ Cola concurrente

○ Handoff obligatorio

LO QUE PRODUCIRÍA EL ANALISTA

✓ Ticket 5W

✓ Prioridad

✓ Escalamiento

CRITERIO DE ÉXITO

Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.

HERRAMIENTAS DE OPERACIÓN · DESDE CERO

La consola cambia; el método permanece.

En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.

4 herramientas
SOC · SIEM cloud

Microsoft Sentinel

SIEM cloud con KQL, conectores, analytics rules, incidentes y workbooks.

PRIMER PASO

No se instala localmente: creá un Log Analytics workspace y habilitá Sentinel en una suscripción autorizada.

VERIFICACIÓNSigninLogs | take 5
CONSULTA PROFESIONALSigninLogs | where TimeGenerated > ago(24h) | summarize count() by UserPrincipalName, ResultType

Buscar patrones de autenticación y agrupar por identidad.

KQL de triageDocumentación oficial ↗
SOC · SIEM

Splunk

Búsqueda SPL, dashboards, alertas y correlación de fuentes heterogéneas.

PRIMER PASO

Usá Splunk Free, trial o contenedor de práctica según la licencia vigente.

VERIFICACIÓNsplunk version
CONSULTA PROFESIONALindex=main sourcetype=sysmon EventCode=1 | stats count by host, ParentImage

Filtrar eventos por índice, fuente y campo.

Búsqueda SPLDocumentación oficial ↗
SOC · SIEM/XDR

Wazuh

Plataforma open source para agentes, logs, integridad, vulnerabilidades y detecciones.

PRIMER PASO

Seguí el Quickstart oficial y revisá requisitos actuales antes de instalar.

VERIFICACIÓNsudo systemctl status wazuh-manager
CONSULTA PROFESIONALsudo bash wazuh-install.sh -a

Instalar un entorno all-in-one de práctica.

Triage de alertaDocumentación oficial ↗
Identidad · cloud

Microsoft Entra ID

Identidades, autenticación, MFA, aplicaciones y audit logs en la nube.

PRIMER PASO

No se instala localmente: configurá un tenant o laboratorio autorizado.

VERIFICACIÓNRevisá Sign-in logs y Audit logs del tenant de prueba.
CONSULTA PROFESIONALSigninLogs | where TimeGenerated > ago(24h) | summarize count() by UserPrincipalName, ConditionalAccessStatus

Agrupar inicios de sesión por usuario, resultado y país.

Informe de identidadDocumentación oficial ↗

Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.

CLASES DEL MÓDULO

Cada clase produce evidencia reutilizable.

Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final.

7 expedientes
  1. 01
    Login imposible y geovelocity

    Evaluar distancia, tiempo, VPN, sesión y confirmación del usuario.

    102–122 min · evidencia: Cuenta, IP, ASN, dispositivo, hora y MFA
    LABPRO0%→
  2. 02
    Logins anómalos y prioridad SOC

    Distinguir una señal de autenticación anómala de un compromiso confirmado y priorizarla dentro de SLA.

    111–131 min · evidencia: Usuario, IP, dispositivo, MFA, riesgo, SLA y decisión
    LABPRO0%🔒
  3. 03
    MFA fatigue y aprobaciones inesperadas

    Reconocer secuencias de prompts y aceptación.

    102–122 min · evidencia: Prompt, resultado, dispositivo, IP y sesión
    LABPRO0%🔒
  4. 04
    Password spraying

    Detectar pocos intentos sobre muchas cuentas en una ventana.

    102–122 min · evidencia: Origen, cuentas, frecuencia, resultado y periodo
    LABPRO0%🔒
  5. 05
    Cuenta bloqueada y recuperación

    Investigar causa sin debilitar controles ni borrar evidencia.

    102–122 min · evidencia: Bloqueo, origen, dispositivo, owner y cambio
    LABPRO0%🔒
  6. 06
    Uso de cuenta privilegiada

    Relacionar acceso, función, ticket y acción realizada.

    102–122 min · evidencia: Cuenta, host, recurso, comando y ticket
    LABPRO0%🔒
  7. 07
    Caso final: compromiso de identidad

    Integrar autenticaciones, MFA, endpoints y alcance.

    102–122 min · evidencia: Primer acceso, sesiones, tokens, cambios y usuarios
    LABPRO0%🔒

EXPEDIENTE ACUMULATIVO DE ASTERIA

El integrador comienza con lo que ya produjiste.

Consultas, comandos, evidencia, informes y decisiones quedan asociados a la clase que los originó.

0 evidencias
ClaseEvidenciasComandosInformeEstado
Password spraying00PendienteEn curso
Uso de cuenta privilegiada00PendienteEn curso

Decisiones e hipótesis descartadas

Todavía no agregaste una decisión transversal.

CONTROLES INTERMEDIOS · CANTIDAD VARIABLE

Corregí el rumbo antes del laboratorio final.

Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.

0/2 resueltos
CONTROL 1

Caso de transferencia

Una segunda sede presenta una señal parecida a “Logins anómalos y prioridad SOC”, pero con entidades y horario diferentes.

Fuente AUsuario, IP, dispositivo, MFA, riesgo, SLA y decisiónFuente BPrompt, resultado, dispositivo, IP y sesión
CONTROL 2

Evidencia nueva cambia la prioridad

El ticket recibe un dato posterior relacionado con “Uso de cuenta privilegiada”. La primera conclusión ya no explica todo el caso.

Fuente ACuenta, host, recurso, comando y ticketFuente BPrimer acceso, sesiones, tokens, cambios y usuarios

PANEL DE DOMINIO

Tu avance separado por capacidad.

Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.

5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 expedientes con autoridad
Inicial0%
InvestigaciónLaboratorios y pivotes0 laboratorios observados
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%

LABORATORIO FINAL INTEGRADOR

Alertas de identidad · expediente integrador

La empresa abre una cola SOC con SLA, SIEM, EDR, tickets y un esquema de escalamiento. El volumen obliga a priorizar, documentar las 5W y entregar un handoff reproducible. En este expediente vas a reunir lo aprendido en las 7 clases sin recibir una conclusión predeterminada.

PRO

Un caso largo para unir todo el módulo.

Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.

Desbloquear con Pro ↗

DIAGNÓSTICO FINAL · COMPARACIÓN

Resolvé una variante y compará cómo cambió tu criterio.

No repite las opciones en el mismo orden. Mide decisiones, errores que desaparecieron y áreas que todavía requieren práctica.

4 decisiones · 6 min
Disponible al acreditar todas las clases.

El diagnóstico inicial nunca bloquea; esta comparación aparece al final para medir transferencia real.

REFERENCIAS Y VIGENCIA

Contenido trazable, comprobado y preparado para revisión.

PRÓXIMA REVISIÓN · 24 de noviembre de 2026
NICE

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

Ver marco oficial ↗
MITRE ATT&CK

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

Phishing · Valid Accounts · Detection strategy correlation

Ver estrategias de detección ↗
RESPUESTA A INCIDENTES

NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.

Ver publicación oficial ↗
VERSIÓN

3.2.0 · actualizada 24 de agosto de 2026

Microsoft Sentinel · Splunk · Wazuh · Microsoft Entra ID · imágenes, logs y capturas sanitizadas de práctica

Última verificación práctica: 24 de agosto de 2026 · comandos, fixtures, timestamps y claves de evaluación
HERRAMIENTAS AFECTADAS

Microsoft Sentinel

Splunk

Wazuh

Microsoft Entra ID

COMANDOS COMPROBADOS

✓ Microsoft Sentinel: SigninLogs | where TimeGenerated > ago(24h) | summarize count() by UserPrincipalName, ResultType

✓ Splunk: index=main sourcetype=sysmon EventCode=1 | stats count by host, ParentImage

✓ Wazuh: sudo bash wazuh-install.sh -a

✓ Microsoft Entra ID: SigninLogs | where TimeGenerated > ago(24h) | summarize count() by UserPrincipalName, ConditionalAccessStatus

FUENTES PROFESIONALES

NICE Framework Components v2.2.0

MITRE ATT&CK v19.2

NIST SP 800-61 Rev. 3

Microsoft Sentinel · documentación oficial

Splunk · documentación oficial

Wazuh · documentación oficial

CAMBIOS DE ESTA VERSIÓN

+ Catálogo SOC por nivel y herramienta

+ 12 clases canónicas sin duplicados

+ Laboratorios con evidencia sin etiquetas de solución

+ Traducción técnica y fuentes profesionales revisadas