La CuevaBLUE TEAM
Rutas›N5›Correlación y alcance

RC-N5-M01 · INVESTIGACIÓN SOC L2

Correlación y alcance

Normalizar fuentes y convertir eventos separados en una historia comprobable.

7 clases4 herramientas SOC1 caso integrador

Autonomía del nivel. Alcance multihost, preservación, contención reversible y handoff técnico.

CASO TRANSVERSAL
Asteria Logistics S.A.Investigación SOC L2

Hay que confirmar alcance, preservar evidencia y proponer contenciones reversibles.

ESTADO OPERATIVOBorrador local
Clases acreditadas
0/7
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%

MAPA DE COMPETENCIAS · NICE TKS

Lo que vas a poder hacer, comprender y demostrar.

NICE 2.2.0
T

Tareas profesionales

  • LC-T-N5-M01-01Normalizar una investigación de cuatro fuentes.Fuentes, timestamps y zonas horariasTarea aplicada y entrega: UTC, offset, clock skew, ingest time y event time.
  • LC-T-N5-M01-02Construir un mapa de alcance con relaciones confirmadas, probables y pendientes.Correlacionar endpoint, red e identidadTarea aplicada y entrega: Host, usuario, proceso, IP, sesión, ventana y confianza.
  • LC-T-N5-M01-03Encontrar el pivote común en identidad, endpoint y red.Correlación por usuario, host y procesoTarea aplicada y entrega: Usuario, SID, hostname, process GUID, IP y sesión.
  • LC-T-N5-M01-04Separar inicio observado de inicio real desconocido.Primer evento confiableTarea aplicada y entrega: Fuente, cobertura, precisión, retención y confianza.
  • LC-T-N5-M01-05Construir un mapa de alcance sin inflarlo.Alcance confirmado y probableTarea aplicada y entrega: Entidad, evidencia, relación, estado y prioridad.
  • LC-T-N5-M01-06Diseñar consultas alternativas para un dato faltante.Brechas de telemetríaTarea aplicada y entrega: Cobertura, pérdida, ingestión, retención y sesgo.
  • LC-T-N5-M01-07Entregar timeline y alcance con confianza explícita.Caso multipista de correlaciónTarea aplicada y entrega: Sign-in, process, network, audit, timeline y scope.
K

Conocimientos

  • LC-K-N5-M01-01Alinear telemetría con precisión y desfase conocidos.Fuentes, timestamps y zonas horariasDiagnóstico, demostración anotada y micropráctica de “Fuentes, timestamps y zonas horarias”.
  • LC-K-N5-M01-02Unir procesos, conexiones y autenticaciones usando entidades y ventanas temporales.Correlacionar endpoint, red e identidadDiagnóstico, demostración anotada y micropráctica de “Correlacionar endpoint, red e identidad”.
  • LC-K-N5-M01-03Resolver entidades y evitar unir registros por coincidencias débiles.Correlación por usuario, host y procesoDiagnóstico, demostración anotada y micropráctica de “Correlación por usuario, host y proceso”.
  • LC-K-N5-M01-04Identificar el ancla más sólida de una secuencia.Primer evento confiableDiagnóstico, demostración anotada y micropráctica de “Primer evento confiable”.
  • LC-K-N5-M01-05Diferenciar activos afectados, relacionados y pendientes.Alcance confirmado y probableDiagnóstico, demostración anotada y micropráctica de “Alcance confirmado y probable”.
  • LC-K-N5-M01-06Reconocer qué preguntas no puede responder cada fuente.Brechas de telemetríaDiagnóstico, demostración anotada y micropráctica de “Brechas de telemetría”.
  • LC-K-N5-M01-07Integrar autenticación, proceso, DNS y cambios de cuenta.Caso multipista de correlaciónDiagnóstico, demostración anotada y micropráctica de “Caso multipista de correlación”.
S

Habilidades

  • LC-S-N5-M01-01Producir utc, offset, clock skew, ingest time y event time con una fuente verificable.Fuentes, timestamps y zonas horariasLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M01-02Producir host, usuario, proceso, ip, sesión, ventana y confianza con una fuente verificable.Correlacionar endpoint, red e identidadLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M01-03Producir usuario, sid, hostname, process guid, ip y sesión con una fuente verificable.Correlación por usuario, host y procesoLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M01-04Producir fuente, cobertura, precisión, retención y confianza con una fuente verificable.Primer evento confiableLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M01-05Producir entidad, evidencia, relación, estado y prioridad con una fuente verificable.Alcance confirmado y probableLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M01-06Producir cobertura, pérdida, ingestión, retención y sesgo con una fuente verificable.Brechas de telemetríaLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M01-07Producir sign-in, process, network, audit, timeline y scope con una fuente verificable.Caso multipista de correlaciónLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
PD-WRL-003Incident ResponseProtection and Defense
IN-WRL-002Digital Evidence AnalysisInvestigation

Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.

DIAGNÓSTICO INICIAL · NO BLOQUEANTE

¿Estás listo para correlación y alcance?

Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.

4 decisiones · 6 min
01Ante “Normalizar una investigación de cuatro fuentes.”, ¿qué evidencia mínima responde mejor la pregunta?
02Ante “Construir un mapa de alcance con relaciones confirmadas, probables y pendientes.”, ¿qué evidencia mínima responde mejor la pregunta?
03Ante “Encontrar el pivote común en identidad, endpoint y red.”, ¿qué evidencia mínima responde mejor la pregunta?
04Entregar timeline y alcance con confianza explícita. ¿Cuál sería el primer movimiento defendible?
Continuar sin diagnóstico

CASO TRANSVERSAL · MUNDO PERSISTENTE

Asteria cambia; su historia no se reinicia.

Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.

N5 · CAPÍTULO 01
SEDES Y SERVICIOS

Asteria Logistics S.A.

⌁ Buenos Aires · sede central

⌁ Córdoba · centro operativo

⌁ Montevideo · oficina regional

ACTIVOS EN ALCANCE
LAP-FIN-042

Estación de cuentas por pagar

Lucía Ferrer
WS-RRHH-017

Estación de Recursos Humanos

Sofía Ríos
LAP-IT-008

Soporte y administración

Martín Vega
VPN-GW-01

Acceso remoto

Infraestructura
IDENTIDADES CONOCIDAS
Sofía Ríos · s.rios

Recursos Humanos

L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega

Soporte de TI

Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta

Infraestructura

Cuenta privilegiada separada · cambios con ticket
svc_backup

Servicio de respaldo

Ejecución diaria · 02:00 UTC
TELEMETRÍA DISPONIBLE
SIEMEDRIdPVPNCorreoFirewallTickets

Cambio más reciente

ERP-BA-01 fue declarado servicio crítico: aislarlo requiere evaluar continuidad de facturación.

LÍNEA BASE

✓ Preservación antes de contención

✓ Aprobación para activos críticos

✓ Seguimiento multihost

LÍNEA TEMPORAL DE ASTERIA

La organización acumula cambios, excepciones e incidentes.

Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.

6 hitos
  1. Activo

    Inventario inicial

    DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.

  2. Infraestructura

    Conectividad regional

    Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.

  3. Identidad

    Active Directory

    Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.

  4. Control

    Telemetría central

    EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.

  5. Operación

    Apertura del SOC

    Se define cola, prioridad, SLA, 5W y handoff entre turnos.

  6. Incidente

    Investigación multihost

    Una identidad conecta endpoint, VPN y ERP; se formaliza preservación previa a contención.

    Contexto activo en este módulo

MAPA DE DEPENDENCIAS

Qué necesitás, qué construís y dónde vuelve a aparecer.

TRAZABILIDAD CURRICULAR
ANTES

Conocimientos requeridos

Procesos y archivos

Identidad y permisos

Timestamps y procedencia

EN ESTE MÓDULO

Secuencia de construcción

01Fuentes, timestamps y zonas horarias

02Correlacionar endpoint, red e identidad

03Correlación por usuario, host y proceso

04Primer evento confiable

05Alcance confirmado y probable

06Brechas de telemetría

DESPUÉS

Se reutiliza en

N6 · investigación con evidencia distribuida

Laboratorios integradores

Revisiones intercaladas

RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3

La investigación forma parte de un sistema de gestión.

NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.

  1. 01Governprepara y reduce riesgo
  2. 02Identifyprepara y reduce riesgo
  3. 03Protectprepara y reduce riesgo
  4. 04Detectrespuesta al incidente
  5. 05Respondrespuesta al incidente
  6. 06Recoverrespuesta al incidente

SIMULACIÓN LABORAL ESPECÍFICA

Investigación SOC L2

El caso alcanza varios hosts y un servicio crítico; contención y preservación compiten por tiempo.

CONTEXTO DE TURNO
CONDICIONES REALES

○ Alcance multihost

○ ERP crítico

○ Aprobación de contención

LO QUE PRODUCIRÍA EL ANALISTA

✓ Timeline correlacionada

✓ Alcance

✓ Plan reversible

CRITERIO DE ÉXITO

Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.

HERRAMIENTAS DE OPERACIÓN · DESDE CERO

La consola cambia; el método permanece.

En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.

4 herramientas
SOC · SIEM

Splunk

Búsqueda SPL, dashboards, alertas y correlación de fuentes heterogéneas.

PRIMER PASO

Usá Splunk Free, trial o contenedor de práctica según la licencia vigente.

VERIFICACIÓNsplunk version
CONSULTA PROFESIONALindex=main sourcetype=sysmon EventCode=1 | stats count by host, ParentImage

Filtrar eventos por índice, fuente y campo.

Búsqueda SPLDocumentación oficial ↗
SOC · SIEM cloud

Microsoft Sentinel

SIEM cloud con KQL, conectores, analytics rules, incidentes y workbooks.

PRIMER PASO

No se instala localmente: creá un Log Analytics workspace y habilitá Sentinel en una suscripción autorizada.

VERIFICACIÓNSigninLogs | take 5
CONSULTA PROFESIONALSigninLogs | where TimeGenerated > ago(24h) | summarize count() by UserPrincipalName, ResultType

Buscar patrones de autenticación y agrupar por identidad.

KQL de triageDocumentación oficial ↗
SOC · SIEM/XDR

Elastic Security

KQL, EQL, detecciones y visualizaciones sobre Elastic Common Schema.

PRIMER PASO

Podés usar Elastic Cloud o el stack local siguiendo la guía oficial.

VERIFICACIÓNGET /
CONSULTA PROFESIONALevent.category:process and process.name:powershell.exe

Filtrar procesos normalizados en KQL.

KQL/EQL de huntingDocumentación oficial ↗
DFIR · endpoint

Velociraptor

Adquisición y hunting de endpoints mediante VQL y artefactos.

PRIMER PASO

Descargá el binario oficial o usá el servidor de práctica de la academia.

VERIFICACIÓNvelociraptor version
CONSULTA PROFESIONALvelociraptor query 'SELECT * FROM info()'

Ejecutar una consulta VQL de lectura sobre un endpoint de práctica.

VQL de huntingDocumentación oficial ↗

Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.

CLASES DEL MÓDULO

Cada clase produce evidencia reutilizable.

Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final.

7 expedientes
  1. 01
    Fuentes, timestamps y zonas horarias

    Alinear telemetría con precisión y desfase conocidos.

    102–122 min · evidencia: UTC, offset, clock skew, ingest time y event time
    LABPRO0%→
  2. 02
    Correlacionar endpoint, red e identidad

    Unir procesos, conexiones y autenticaciones usando entidades y ventanas temporales.

    120–140 min · evidencia: Host, usuario, proceso, IP, sesión, ventana y confianza
    LABPRO0%🔒
  3. 03
    Correlación por usuario, host y proceso

    Resolver entidades y evitar unir registros por coincidencias débiles.

    111–131 min · evidencia: Usuario, SID, hostname, process GUID, IP y sesión
    LABPRO0%🔒
  4. 04
    Primer evento confiable

    Identificar el ancla más sólida de una secuencia.

    102–122 min · evidencia: Fuente, cobertura, precisión, retención y confianza
    LABPRO0%🔒
  5. 05
    Alcance confirmado y probable

    Diferenciar activos afectados, relacionados y pendientes.

    102–122 min · evidencia: Entidad, evidencia, relación, estado y prioridad
    LABPRO0%🔒
  6. 06
    Brechas de telemetría

    Reconocer qué preguntas no puede responder cada fuente.

    102–122 min · evidencia: Cobertura, pérdida, ingestión, retención y sesgo
    LABPRO0%🔒
  7. 07
    Caso multipista de correlación

    Integrar autenticación, proceso, DNS y cambios de cuenta.

    111–131 min · evidencia: Sign-in, process, network, audit, timeline y scope
    LABPRO0%🔒

EXPEDIENTE ACUMULATIVO DE ASTERIA

El integrador comienza con lo que ya produjiste.

Consultas, comandos, evidencia, informes y decisiones quedan asociados a la clase que los originó.

0 evidencias
ClaseEvidenciasComandosInformeEstado
Primer evento confiable00PendienteEn curso
Brechas de telemetría00PendienteEn curso

Decisiones e hipótesis descartadas

Todavía no agregaste una decisión transversal.

CONTROLES INTERMEDIOS · CANTIDAD VARIABLE

Corregí el rumbo antes del laboratorio final.

Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.

0/2 resueltos
CONTROL 1

Caso de transferencia

Una segunda sede presenta una señal parecida a “Correlacionar endpoint, red e identidad”, pero con entidades y horario diferentes.

Fuente AHost, usuario, proceso, IP, sesión, ventana y confianzaFuente BUsuario, SID, hostname, process GUID, IP y sesión
CONTROL 2

Evidencia nueva cambia la prioridad

El ticket recibe un dato posterior relacionado con “Brechas de telemetría”. La primera conclusión ya no explica todo el caso.

Fuente ACobertura, pérdida, ingestión, retención y sesgoFuente BSign-in, process, network, audit, timeline y scope

PANEL DE DOMINIO

Tu avance separado por capacidad.

Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.

5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 expedientes con autoridad
Inicial0%
InvestigaciónLaboratorios y pivotes0 laboratorios observados
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%

LABORATORIO FINAL INTEGRADOR

Correlación y alcance · expediente integrador

Varias alertas afectan identidades, endpoints y red al mismo tiempo. Hay que confirmar alcance, preservar evidencia y proponer contenciones reversibles. En este expediente vas a reunir lo aprendido en las 7 clases sin recibir una conclusión predeterminada.

PRO

Un caso largo para unir todo el módulo.

Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.

Desbloquear con Pro ↗

DIAGNÓSTICO FINAL · COMPARACIÓN

Resolvé una variante y compará cómo cambió tu criterio.

No repite las opciones en el mismo orden. Mide decisiones, errores que desaparecieron y áreas que todavía requieren práctica.

4 decisiones · 6 min
Disponible al acreditar todas las clases.

El diagnóstico inicial nunca bloquea; esta comparación aparece al final para medir transferencia real.

REFERENCIAS Y VIGENCIA

Contenido trazable, comprobado y preparado para revisión.

PRÓXIMA REVISIÓN · 24 de noviembre de 2026
NICE

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

Ver marco oficial ↗
MITRE ATT&CK

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

Remote Services · Account Discovery · Multi-event detection analytics

Ver estrategias de detección ↗
RESPUESTA A INCIDENTES

NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.

Ver publicación oficial ↗
VERSIÓN

3.2.0 · actualizada 24 de agosto de 2026

Splunk · Microsoft Sentinel · Elastic Security · Velociraptor · imágenes, logs y capturas sanitizadas de práctica

Última verificación práctica: 24 de agosto de 2026 · comandos, fixtures, timestamps y claves de evaluación
HERRAMIENTAS AFECTADAS

Splunk

Microsoft Sentinel

Elastic Security

Velociraptor

COMANDOS COMPROBADOS

✓ Splunk: index=main sourcetype=sysmon EventCode=1 | stats count by host, ParentImage

✓ Microsoft Sentinel: SigninLogs | where TimeGenerated > ago(24h) | summarize count() by UserPrincipalName, ResultType

✓ Elastic Security: event.category:process and process.name:powershell.exe

✓ Velociraptor: velociraptor query 'SELECT * FROM info()'

FUENTES PROFESIONALES

NICE Framework Components v2.2.0

MITRE ATT&CK v19.2

NIST SP 800-61 Rev. 3

Splunk · documentación oficial

Microsoft Sentinel · documentación oficial

Elastic Security · documentación oficial

CAMBIOS DE ESTA VERSIÓN

+ Catálogo SOC por nivel y herramienta

+ 12 clases canónicas sin duplicados

+ Laboratorios con evidencia sin etiquetas de solución

+ Traducción técnica y fuentes profesionales revisadas