Rutas›N4›Hacking ético y seguridad de aplicaciones
RC-N4-AP-M03 · APLICACIÓN SEGURA
Hacking ético y seguridad de aplicaciones
Revisá aplicaciones de forma metódica y segura, con alcance escrito, datos de prueba y hallazgos reproducibles.
8 clases3 herramientas1 caso integrador10 h 20 min–11 h 40 min clases base · aprox. · sin integrador
Autonomía del nivel. Relacionar riesgos, controles, sistemas y evidencia para proponer mejoras verificables.
CASO TRANSVERSAL
Asteria Logistics S.A.Programa de ciberseguridad aplicada
Las decisiones deben relacionar evidencia con impacto, protección, privacidad y continuidad del servicio.
ESTADO OPERATIVOBorrador local
Clases base acreditadas
0/8
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%
MAPA DE COMPETENCIAS · NICE TKS
Habilidades y conocimientos.
Vas a poder hacer, comprender y demostrar estas competencias con evidencias de las clases.
NICE 2.2.0
T
Tareas profesionales
LC-T-N4-M03-01Redactar un alcance y reglas de trabajo para una aplicación de laboratorio sin tocar sistemas reales.Autorización, alcance, reglas de trabajo y ética profesionalTarea aplicada y entrega: Autorización, propietario, activos, ventana, exclusiones, contacto y detención.
LC-T-N4-M03-02Construir un mapa de superficie de ataque para una app de práctica a partir de artefactos proporcionados.Identificación de superficie de ataque dentro de un alcance autorizadoTarea aplicada y entrega: Host, ruta, API, rol, dato, componente y fuente de inventario.
LC-T-N4-M03-03Validar de forma no destructiva dos hallazgos sintéticos y recomendar cómo obtener confirmación segura.Detección y validación segura de vulnerabilidadesTarea aplicada y entrega: Componente, versión, condición, evidencia, exposición y confianza.
LC-T-N4-M03-04Clasificar escenarios web ficticios con OWASP Top 10 2025 y proponer una mitigación verificable.Riesgos comunes en aplicaciones webTarea aplicada y entrega: Requisito, entrada, autorización, configuración, impacto y mitigación.
LC-T-N4-M03-05Diseñar casos de prueba seguros con cuentas ficticias para autenticación, sesiones y acceso a recursos.Pruebas de autenticación, sesiones y controles de accesoTarea aplicada y entrega: Usuario, rol, objeto, sesión, expiración, evento y resultado.
LC-T-N4-M03-06Auditar una especificación y trazas sanitizadas de una API con controles del OWASP API Security Top 10.Revisión básica de seguridad en API y configuracionesTarea aplicada y entrega: Endpoint, método, esquema, rol, objeto, límite, error y versión.
LC-T-N4-M03-07Ejecutar una revisión sobre código y aplicación local sintéticos, interpretar resultados y registrar límites.Validación controlada de hallazgos en laboratorios autorizadosTarea aplicada y entrega: Repositorio local, alcance, regla, observación, falso positivo y validación.
LC-T-N4-M03-08Completar en 110 minutos la evaluación integral de Asteria Web: delimitar el caso, justificar hallazgos con evidencia sintética y d…Laboratorio: documentar hallazgos, mitigaciones y retestTarea aplicada y entrega: Resumen, activo, evidencia, riesgo, mitigación, propietario y retest.
K
Conocimientos
LC-K-N4-M03-01Establecer límites legales, técnicos y operativos antes de cualquier revisión de seguridad.Autorización, alcance, reglas de trabajo y ética profesionalDiagnóstico, demostración anotada y micropráctica de “Autorización, alcance, reglas de trabajo y ética profesional”.
LC-K-N4-M03-02Inventariar puntos de entrada, componentes, roles y flujos mediante documentación y observación controlada.Identificación de superficie de ataque dentro de un alcance autorizadoDiagnóstico, demostración anotada y micropráctica de “Identificación de superficie de ataque dentro de un alcance autorizado”.
LC-K-N4-M03-03Evaluar hallazgos técnicos con versiones, configuración, exposición, evidencia y posibilidad de falso positivo.Detección y validación segura de vulnerabilidadesDiagnóstico, demostración anotada y micropráctica de “Detección y validación segura de vulnerabilidades”.
LC-K-N4-M03-04Reconocer categorías de diseño y configuración que afectan datos, identidades y disponibilidad.Riesgos comunes en aplicaciones webDiagnóstico, demostración anotada y micropráctica de “Riesgos comunes en aplicaciones web”.
LC-K-N4-M03-05Evaluar requisitos de identidad, ciclo de sesión y autorización por rol y objeto en aplicaciones propias.Pruebas de autenticación, sesiones y controles de accesoDiagnóstico, demostración anotada y micropráctica de “Pruebas de autenticación, sesiones y controles de acceso”.
LC-K-N4-M03-06Revisar inventario de endpoints, autorización, datos, límites, errores, versiones y configuraciones de API.Revisión básica de seguridad en API y configuracionesDiagnóstico, demostración anotada y micropráctica de “Revisión básica de seguridad en API y configuraciones”.
LC-K-N4-M03-07Combinar análisis estático y observación pasiva para validar hallazgos sin salir del laboratorio.Validación controlada de hallazgos en laboratorios autorizadosDiagnóstico, demostración anotada y micropráctica de “Validación controlada de hallazgos en laboratorios autorizados”.
LC-K-N4-M03-08Convertir señales de seguridad de una aplicación en hallazgos reproducibles y recomendaciones útiles.Laboratorio: documentar hallazgos, mitigaciones y retestDiagnóstico, demostración anotada y micropráctica de “Laboratorio: documentar hallazgos, mitigaciones y retest”.
S
Habilidades
LC-S-N4-M03-01Producir autorización, propietario, activos, ventana, exclusiones, contacto y detención con una fuente verificable.Autorización, alcance, reglas de trabajo y ética profesionalLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M03-02Producir host, ruta, api, rol, dato, componente y fuente de inventario con una fuente verificable.Identificación de superficie de ataque dentro de un alcance autorizadoLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M03-03Producir componente, versión, condición, evidencia, exposición y confianza con una fuente verificable.Detección y validación segura de vulnerabilidadesLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M03-04Producir requisito, entrada, autorización, configuración, impacto y mitigación con una fuente verificable.Riesgos comunes en aplicaciones webLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M03-05Producir usuario, rol, objeto, sesión, expiración, evento y resultado con una fuente verificable.Pruebas de autenticación, sesiones y controles de accesoLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M03-06Producir endpoint, método, esquema, rol, objeto, límite, error y versión con una fuente verificable.Revisión básica de seguridad en API y configuracionesLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M03-07Producir repositorio local, alcance, regla, observación, falso positivo y validación con una fuente verificable.Validación controlada de hallazgos en laboratorios autorizadosLaboratorio individual, validación de evidencia e informe final.
LC-S-N4-M03-08Producir resumen, activo, evidencia, riesgo, mitigación, propietario y retest con una fuente verificable.Laboratorio: documentar hallazgos, mitigaciones y retestLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
PD-WRL-001Defensive CybersecurityProtection and Defense
PD-WRL-003Incident ResponseProtection and Defense
Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.
DIAGNÓSTICO INICIAL · NO BLOQUEANTE
¿Estás listo para hacking ético y seguridad de aplicaciones?
Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.
Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.
N4 · CAPÍTULO 03
SEDES Y SERVICIOS
Asteria Logistics S.A.
⌁ Buenos Aires · sede central
⌁ Córdoba · centro operativo
⌁ Montevideo · oficina regional
ACTIVOS EN ALCANCE
LAP-FIN-042
Estación de cuentas por pagar
Lucía Ferrer
WS-RRHH-017
Estación de Recursos Humanos
Sofía Ríos
LAP-IT-008
Soporte y administración
Martín Vega
VPN-GW-01
Acceso remoto
Infraestructura
IDENTIDADES CONOCIDAS
Lucía Ferrer · l.ferrer
Cuentas por pagar
L–V · 08:30–17:30 · Buenos Aires
Sofía Ríos · s.rios
Recursos Humanos
L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega
Soporte de TI
Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta
Infraestructura
Cuenta privilegiada separada · cambios con ticket
TELEMETRÍA DISPONIBLE
InventarioProtección de endpointIdentidadCorreoRedAuditoría de aplicaciones y nube
Cambio más reciente
Una revisión de arquitectura identificó permisos heredados y una dependencia externa sin responsable confirmado.
LÍNEA BASE
✓ Inventario con responsables
✓ Excepciones con alcance y vencimiento
✓ Pruebas de controles y recuperación documentadas
LÍNEA TEMPORAL DE ASTERIA
La organización acumula cambios, excepciones e incidentes.
Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.
5 hitos
Activo
Inventario inicial
DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.
Infraestructura
Conectividad regional
Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.
Identidad
Active Directory
Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.
Control
Telemetría central
EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.
Control
Revisión de riesgos
Los activos críticos reciben responsable, controles verificables y fecha de revisión.
Contexto activo en este módulo
MAPA DE DEPENDENCIAS
Conocimientos y conexiones.
Qué necesitás, qué construís y dónde vuelve a aparecer.
TRAZABILIDAD CURRICULAR
ANTES
Conocimientos requeridos
Procesos y archivos
Identidad y permisos
Timestamps y procedencia
→EN ESTE MÓDULO
Secuencia de construcción
01Autorización, alcance, reglas de trabajo y ética profesional
02Identificación de superficie de ataque dentro de un alcance autorizado
03Detección y validación segura de vulnerabilidades
04Riesgos comunes en aplicaciones web
05Pruebas de autenticación, sesiones y controles de acceso
06Revisión básica de seguridad en API y configuraciones
→DESPUÉS
Se reutiliza en
N5 · investigación con evidencia distribuida
Laboratorios integradores
Revisiones intercaladas
RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3
Respuesta a incidentes y gestión.
La investigación forma parte de un sistema de gestión. NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.
01Governprepara y reduce riesgo
02Identifyprepara y reduce riesgo
03Protectprepara y reduce riesgo
04Detectrespuesta al incidente
05Respondrespuesta al incidente
06Recoverrespuesta al incidente
ESCENARIO DE APLICACIÓN
Revisión de seguridad aplicada
Un servicio combina una configuración pendiente de verificar, datos sensibles y una alerta de acceso que requiere una decisión proporcional. El rol es el punto de vista de este caso, no el único perfil profesional de la ruta.
CASO DE PRÁCTICA
CONDICIONES DEL ESCENARIO
○ Inventario parcial
○ Continuidad del servicio
○ Evidencia con límites
ENTREGABLES DEL EJERCICIO
✓ Registro de riesgo
✓ Recomendación de control
✓ Informe y prueba de validación
CRITERIO DE ÉXITO
Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.
HERRAMIENTAS DE OPERACIÓN · DESDE CERO
La consola cambia; el método permanece.
En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.
3 herramientas
Aplicaciones · análisis estático
Semgrep
Revisar código fuente local con reglas explicables y validar cada coincidencia en su contexto.
¿Por qué la vas a usar?
La vas a usar para revisar código fuente local con reglas explicables y validar cada coincidencia en su contexto.
Cómo instalarla o acceder
Instalá el CLI desde la documentación oficial o usá la imagen de laboratorio aprobada.
La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.
Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.
CLASES DEL MÓDULO
Cada clase produce evidencia reutilizable.
Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final. Las extensiones agregan profundidad sin reabrir el integrador base.
Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.
0/2 resueltos
CONTROL 1
Caso de transferencia
Una segunda sede presenta una señal parecida a “Identificación de superficie de ataque dentro de un alcance autorizado”, pero con entidades y horario diferentes.
Fuente AHost, ruta, API, rol, dato, componente y fuente de inventarioFuente BComponente, versión, condición, evidencia, exposición y confianza
CONTROL 2
Evidencia nueva cambia la prioridad
El ticket recibe un dato posterior relacionado con “Validación controlada de hallazgos en laboratorios autorizados”. La primera conclusión ya no explica todo el caso.
Fuente ARepositorio local, alcance, regla, observación, falso positivo y validaciónFuente BResumen, activo, evidencia, riesgo, mitigación, propietario y retest
PANEL DE DOMINIO
Tu avance separado por capacidad.
Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.
5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 clases con actividad registrada
Inicial0%
InvestigaciónPráctica interactiva y pivotes0 clases con práctica interactiva
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%
INTEGRADOR FINAL DEL MÓDULO
Hacking ético y seguridad de aplicaciones · expediente integrador
La organización revisa activos, riesgos, arquitectura, aplicaciones, controles y preparación para responder. Las decisiones deben relacionar evidencia con impacto, protección, privacidad y continuidad del servicio. En este expediente vas a reunir lo aprendido en las 8 clases sin recibir una conclusión predeterminada. Es una actividad de cierre propia del módulo, distinta de los laboratorios completos del catálogo.
PRO
⌁
Caso integrador del módulo.
Un caso largo que une todo el módulo. Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.
