Rutas›N4›Defensa, respuesta e inteligencia artificial
RC-N4-AP-M04 · APLICACIÓN SEGURA
Defensa, respuesta e inteligencia artificial
Convertí telemetría y contexto en decisiones de respuesta, informes claros y uso responsable de IA.
9 clases3 herramientas1 caso integrador10 h 15 min–11 h 45 min clases base · aprox. · sin integrador
Autonomía del nivel. Relacionar riesgos, controles, sistemas y evidencia para proponer mejoras verificables.
CASO TRANSVERSAL
Asteria Logistics S.A.Programa de ciberseguridad aplicada
Las decisiones deben relacionar evidencia con impacto, protección, privacidad y continuidad del servicio.
ESTADO OPERATIVOBorrador local
Clases base acreditadas
0/9
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%
MAPA DE COMPETENCIAS · NICE TKS
Habilidades y conocimientos.
Vas a poder hacer, comprender y demostrar estas competencias con evidencias de las clases.
NICE 2.2.0
T
Tareas profesionales
LC-T-N4-M04-01Crear un mapa de telemetría y detectar huecos que impedirían responder preguntas concretas.Telemetría, registros y monitoreo de seguridadTarea aplicada y entrega: Fuente, evento, entidad, tiempo, retención, cobertura y acceso.
LC-T-N4-M04-02Enriquecer un caso sintético con indicadores y ATT&CK manteniendo hipótesis y fuentes separadas.Inteligencia de amenazas, indicadores y MITRE ATT&CKTarea aplicada y entrega: Indicador, fuente, fecha, confianza, comportamiento, técnica y contexto.
LC-T-N4-M04-03Analizar un mensaje EML y una ficha de archivo sanitizados con un flujo de triage seguro.Evaluación inicial de phishing y archivos sospechososTarea aplicada y entrega: EML, encabezados, remitente, URL, hash, tipo de archivo y alcance.
LC-T-N4-M04-04Construir un plan de respuesta para un caso ficticio que proteja evidencia y continuidad del servicio.Ciclo de respuesta ante incidentesTarea aplicada y entrega: Preparación, análisis, contención, recuperación, comunicación y mejora.
LC-T-N4-M04-05Ordenar evidencia sintética en una timeline y documentar conflictos, huecos y limitaciones.Preservación de evidencias y construcción de una línea de tiempoTarea aplicada y entrega: Fuente, hora original, zona, normalización, hash, custodio y limitación.
LC-T-N4-M04-06Transformar un conjunto de notas en un resumen ejecutivo y un anexo técnico reproducible.Comunicación y elaboración de informes técnicosTarea aplicada y entrega: Alcance, hechos, hipótesis, impacto, confianza, decisión y recomendación.
LC-T-N4-M04-07Comparar una salida generativa y una regla con los registros de práctica, documentando qué se acepta, corrige o descarta.IA para apoyar el análisis de registros, consultas y automatizacionesTarea aplicada y entrega: IA, aprendizaje automático, LLM, automatización determinista, fuente, resultado esperado y revisión.
LC-T-N4-M04-08Clasificar afirmaciones y datos de una salida sintética y definir controles, revisión, trazabilidad y parada.Límites de la IA: privacidad, errores y validación humanaTarea aplicada y entrega: Fuente primaria, clasificación de datos, error, sesgo, confianza y criterio de detención.
LC-T-N4-M04-09Resolver un expediente sintético desde la primera señal hasta un plan de mejora priorizado y comunicable.Proyecto integrador: investigar un caso y proponer mejoras de seguridadTarea aplicada y entrega: Caso, fuentes, timeline, riesgos, decisión, mitigación, informe y revisión.
K
Conocimientos
LC-K-N4-M04-01Diseñar cobertura de registros con fuentes, campos, tiempo, retención y responsables conocidos.Telemetría, registros y monitoreo de seguridadDiagnóstico, demostración anotada y micropráctica de “Telemetría, registros y monitoreo de seguridad”.
LC-K-N4-M04-02Evaluar procedencia, vigencia y confianza de inteligencia antes de relacionar observaciones con comportamientos.Inteligencia de amenazas, indicadores y MITRE ATT&CKDiagnóstico, demostración anotada y micropráctica de “Inteligencia de amenazas, indicadores y MITRE ATT&CK”.
LC-K-N4-M04-03Preservar mensajes y metadatos, evaluar señales y evitar interacción que ejecute o revele contenido peligroso.Evaluación inicial de phishing y archivos sospechososDiagnóstico, demostración anotada y micropráctica de “Evaluación inicial de phishing y archivos sospechosos”.
LC-K-N4-M04-04Preparar, detectar, analizar, contener, erradicar, recuperar y aprender con decisiones autorizadas.Ciclo de respuesta ante incidentesDiagnóstico, demostración anotada y micropráctica de “Ciclo de respuesta ante incidentes”.
LC-K-N4-M04-05Conservar artefactos con procedencia, integridad y tiempo normalizado para sostener una reconstrucción verificable.Preservación de evidencias y construcción de una línea de tiempoDiagnóstico, demostración anotada y micropráctica de “Preservación de evidencias y construcción de una línea de tiempo”.
LC-K-N4-M04-06Presentar evidencia y decisiones en lenguaje claro para audiencias técnicas, responsables y personas afectadas.Comunicación y elaboración de informes técnicosDiagnóstico, demostración anotada y micropráctica de “Comunicación y elaboración de informes técnicos”.
LC-K-N4-M04-07Elegir un uso acotado de IA, distinguirlo de la automatización por reglas y verificar cada resultado con evidencia sintética.IA para apoyar el análisis de registros, consultas y automatizacionesDiagnóstico, demostración anotada y micropráctica de “IA para apoyar el análisis de registros, consultas y automatizaciones”.
LC-K-N4-M04-08Reconocer errores plausibles, sesgos, exposición de datos y confianza excesiva en una salida automatizada.Límites de la IA: privacidad, errores y validación humanaDiagnóstico, demostración anotada y micropráctica de “Límites de la IA: privacidad, errores y validación humana”.
LC-K-N4-M04-09Integrar inventario, riesgo, protección, revisión autorizada, telemetría, respuesta e IA responsable.Proyecto integrador: investigar un caso y proponer mejoras de seguridadDiagnóstico, demostración anotada y micropráctica de “Proyecto integrador: investigar un caso y proponer mejoras de seguridad”.
S
Habilidades
LC-S-N4-M04-01Producir fuente, evento, entidad, tiempo, retención, cobertura y acceso con una fuente verificable.Telemetría, registros y monitoreo de seguridadLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M04-02Producir indicador, fuente, fecha, confianza, comportamiento, técnica y contexto con una fuente verificable.Inteligencia de amenazas, indicadores y MITRE ATT&CKLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M04-03Producir eml, encabezados, remitente, url, hash, tipo de archivo y alcance con una fuente verificable.Evaluación inicial de phishing y archivos sospechososLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M04-04Producir preparación, análisis, contención, recuperación, comunicación y mejora con una fuente verificable.Ciclo de respuesta ante incidentesLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M04-05Producir fuente, hora original, zona, normalización, hash, custodio y limitación con una fuente verificable.Preservación de evidencias y construcción de una línea de tiempoLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M04-06Producir alcance, hechos, hipótesis, impacto, confianza, decisión y recomendación con una fuente verificable.Comunicación y elaboración de informes técnicosLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M04-07Producir ia, aprendizaje automático, llm, automatización determinista, fuente, resultado esperado y revisión con una fuente verificable.IA para apoyar el análisis de registros, consultas y automatizacionesLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M04-08Producir fuente primaria, clasificación de datos, error, sesgo, confianza y criterio de detención con una fuente verificable.Límites de la IA: privacidad, errores y validación humanaLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M04-09Producir caso, fuentes, timeline, riesgos, decisión, mitigación, informe y revisión con una fuente verificable.Proyecto integrador: investigar un caso y proponer mejoras de seguridadLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
PD-WRL-001Defensive CybersecurityProtection and Defense
PD-WRL-003Incident ResponseProtection and Defense
Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.
DIAGNÓSTICO INICIAL · NO BLOQUEANTE
¿Estás listo para defensa, respuesta e inteligencia artificial?
Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.
Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.
N4 · CAPÍTULO 04
SEDES Y SERVICIOS
Asteria Logistics S.A.
⌁ Buenos Aires · sede central
⌁ Córdoba · centro operativo
⌁ Montevideo · oficina regional
ACTIVOS EN ALCANCE
LAP-FIN-042
Estación de cuentas por pagar
Lucía Ferrer
WS-RRHH-017
Estación de Recursos Humanos
Sofía Ríos
LAP-IT-008
Soporte y administración
Martín Vega
VPN-GW-01
Acceso remoto
Infraestructura
IDENTIDADES CONOCIDAS
Lucía Ferrer · l.ferrer
Cuentas por pagar
L–V · 08:30–17:30 · Buenos Aires
Sofía Ríos · s.rios
Recursos Humanos
L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega
Soporte de TI
Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta
Infraestructura
Cuenta privilegiada separada · cambios con ticket
TELEMETRÍA DISPONIBLE
InventarioProtección de endpointIdentidadCorreoRedAuditoría de aplicaciones y nube
Cambio más reciente
Una revisión de arquitectura identificó permisos heredados y una dependencia externa sin responsable confirmado.
LÍNEA BASE
✓ Inventario con responsables
✓ Excepciones con alcance y vencimiento
✓ Pruebas de controles y recuperación documentadas
LÍNEA TEMPORAL DE ASTERIA
La organización acumula cambios, excepciones e incidentes.
Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.
5 hitos
Activo
Inventario inicial
DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.
Infraestructura
Conectividad regional
Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.
Identidad
Active Directory
Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.
Control
Telemetría central
EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.
Control
Revisión de riesgos
Los activos críticos reciben responsable, controles verificables y fecha de revisión.
Contexto activo en este módulo
MAPA DE DEPENDENCIAS
Conocimientos y conexiones.
Qué necesitás, qué construís y dónde vuelve a aparecer.
TRAZABILIDAD CURRICULAR
ANTES
Conocimientos requeridos
Procesos y archivos
Identidad y permisos
Timestamps y procedencia
→EN ESTE MÓDULO
Secuencia de construcción
01Telemetría, registros y monitoreo de seguridad
02Inteligencia de amenazas, indicadores y MITRE ATT&CK
03Evaluación inicial de phishing y archivos sospechosos
04Ciclo de respuesta ante incidentes
05Preservación de evidencias y construcción de una línea de tiempo
06Comunicación y elaboración de informes técnicos
→DESPUÉS
Se reutiliza en
N5 · investigación con evidencia distribuida
Laboratorios integradores
Revisiones intercaladas
RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3
Respuesta a incidentes y gestión.
La investigación forma parte de un sistema de gestión. NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.
01Governprepara y reduce riesgo
02Identifyprepara y reduce riesgo
03Protectprepara y reduce riesgo
04Detectrespuesta al incidente
05Respondrespuesta al incidente
06Recoverrespuesta al incidente
ESCENARIO DE APLICACIÓN
Revisión de seguridad aplicada
Un servicio combina una configuración pendiente de verificar, datos sensibles y una alerta de acceso que requiere una decisión proporcional. El rol es el punto de vista de este caso, no el único perfil profesional de la ruta.
CASO DE PRÁCTICA
CONDICIONES DEL ESCENARIO
○ Inventario parcial
○ Continuidad del servicio
○ Evidencia con límites
ENTREGABLES DEL EJERCICIO
✓ Registro de riesgo
✓ Recomendación de control
✓ Informe y prueba de validación
CRITERIO DE ÉXITO
Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.
HERRAMIENTAS DE OPERACIÓN · DESDE CERO
La consola cambia; el método permanece.
En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.
3 herramientas
Endpoint · telemetría
Sysmon
Telemetría detallada de procesos, red, archivos, registro y DNS en Windows.
¿Por qué la vas a usar?
La vas a usar para generar registros detallados de procesos, conexiones, archivos y DNS en Windows.
Cómo instalarla o acceder
Descargá Sysmon desde Microsoft Sysinternals.
La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.
Primera comprobaciónsysmon64.exe -? 2>&1 | Select-Object -First 8
Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.
CLASES DEL MÓDULO
Cada clase produce evidencia reutilizable.
Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final. Las extensiones agregan profundidad sin reabrir el integrador base.
Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.
0/2 resueltos
CONTROL 1
Caso de transferencia
Una segunda sede presenta una señal parecida a “Inteligencia de amenazas, indicadores y MITRE ATT&CK”, pero con entidades y horario diferentes.
Fuente AIndicador, fuente, fecha, confianza, comportamiento, técnica y contextoFuente BEML, encabezados, remitente, URL, hash, tipo de archivo y alcance
CONTROL 2
Evidencia nueva cambia la prioridad
El ticket recibe un dato posterior relacionado con “Límites de la IA: privacidad, errores y validación humana”. La primera conclusión ya no explica todo el caso.
Fuente AFuente primaria, clasificación de datos, error, sesgo, confianza y criterio de detenciónFuente BCaso, fuentes, timeline, riesgos, decisión, mitigación, informe y revisión
PANEL DE DOMINIO
Tu avance separado por capacidad.
Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.
5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 clases con actividad registrada
Inicial0%
InvestigaciónPráctica interactiva y pivotes0 clases con práctica interactiva
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%
INTEGRADOR FINAL DEL MÓDULO
Defensa, respuesta e inteligencia artificial · expediente integrador
La organización revisa activos, riesgos, arquitectura, aplicaciones, controles y preparación para responder. Las decisiones deben relacionar evidencia con impacto, protección, privacidad y continuidad del servicio. En este expediente vas a reunir lo aprendido en las 9 clases sin recibir una conclusión predeterminada. Es una actividad de cierre propia del módulo, distinta de los laboratorios completos del catálogo.
PRO
⌁
Caso integrador del módulo.
Un caso largo que une todo el módulo. Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.
