Rutas›N5›Inteligencia, automatización y resiliencia
RC-N5-M04 · CIBERSEGURIDAD AVANZADA
Inteligencia, automatización y resiliencia
Convertir hipótesis e inteligencia en detecciones y automatizaciones seguras, y preparar personas y servicios para sostener y recuperar operaciones.
9 clases6 herramientas1 caso integrador13 h 15 min–14 h 45 min clases base · aprox. · sin integrador
Autonomía del nivel. Integrar arquitectura, evaluación autorizada, investigación, respuesta y resiliencia con evidencia.
CASO TRANSVERSAL
Asteria Logistics S.A.Arquitectura, evaluación y respuesta avanzada
Una señal incompleta obliga a validar rutas, proteger evidencia y decidir sin perder continuidad ni exceder la autorización.
ESTADO OPERATIVOBorrador local
Clases base acreditadas
0/9
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%
MAPA DE COMPETENCIAS · NICE TKS
Habilidades y conocimientos.
Vas a poder hacer, comprender y demostrar estas competencias con evidencias de las clases.
NICE 2.2.0
T
Tareas profesionales
LC-T-N5-M04-01Convertir una hipótesis en población, fuentes, consulta conceptual, baseline y criterios de cierre.Búsqueda proactiva de amenazas basada en hipótesisTarea aplicada y entrega: hipótesis, población, datasource, baseline, cobertura y resultado.
LC-T-N5-M04-02Diseñar una lógica de detección, probar cobertura y falsos positivos y preparar operación y mantenimiento.Diseño y validación de detecciones avanzadasTarea aplicada y entrega: fuente, campo, entidad, ventana, regla, caso de prueba y cobertura.
LC-T-N5-M04-03Calificar inteligencia, derivar una acción limitada y establecer revisión, distribución y caducidad.Análisis y uso operativo de inteligencia de amenazasTarea aplicada y entrega: fuente, confianza, vigencia, contexto, TLP, indicador y decisión.
LC-T-N5-M04-04Revisar un playbook de enriquecimiento y contención y eliminar rutas de acción inseguras o irreversibles.Automatización segura de tareas y respuestasTarea aplicada y entrega: trigger, permiso, alcance, aprobación, timeout, rollback y auditoría.
LC-T-N5-M04-05Auditar una salida estática sobre registros sintéticos, medir errores frente a una referencia y justificar cada decisión.IA aplicada al análisis y a la automatización de seguridadTarea aplicada y entrega: dataset, mecanismo, sensibilidad, salida, fuente, errores y revisión humana.
LC-T-N5-M04-06Analizar un asistente ficticio con evidencia estática y permisos acotados, y diseñar pruebas seguras sin conexiones externas.Seguridad de sistemas de IA y modelos de lenguajeTarea aplicada y entrega: modelo y versión, fuente recuperada, identidad, herramienta, permiso, dependencia y salida.
LC-T-N5-M04-07Diseñar un tabletop de interrupción y un plan de recuperación priorizado por impacto y dependencia.Continuidad de negocio, recuperación ante desastres y ejercicios de crisisTarea aplicada y entrega: servicio crítico, RTO, RPO, dependencia, backup, prueba y comunicación.
LC-T-N5-M04-08Evaluar un proveedor ficticio y diseñar indicadores con población, período, dueño y umbrales accionables.Gobierno, riesgos de terceros y métricas de seguridadTarea aplicada y entrega: proveedor, servicio, dato, dependencia, SLA, indicador y decisión.
LC-T-N5-M04-09Presentar una investigación con decisiones trazables, mitigaciones priorizadas y una hoja de ruta para reducir riesgo y mejorar res…Proyecto integrador: análisis multidominio, decisiones y presentación de resultadosTarea aplicada y entrega: hipótesis, riesgo, telemetría, decisión, control, resiliencia y comunicación.
K
Conocimientos
LC-K-N5-M04-01Diseñar búsquedas acotadas y reproducibles para una posibilidad relevante que todavía no generó una alerta clara.Búsqueda proactiva de amenazas basada en hipótesisDiagnóstico, demostración anotada y micropráctica de “Búsqueda proactiva de amenazas basada en hipótesis”.
LC-K-N5-M04-02Construir detecciones basadas en telemetría fiable que unan eventos relacionados y se validen contra escenarios positivos, negativo…Diseño y validación de detecciones avanzadasDiagnóstico, demostración anotada y micropráctica de “Diseño y validación de detecciones avanzadas”.
LC-K-N5-M04-03Evaluar fuentes e indicadores por procedencia, vigencia y contexto y convertirlos en decisiones defensivas sin sobreconfiar en un f…Análisis y uso operativo de inteligencia de amenazasDiagnóstico, demostración anotada y micropráctica de “Análisis y uso operativo de inteligencia de amenazas”.
LC-K-N5-M04-04Automatizar tareas repetibles con permisos mínimos, controles, idempotencia, aprobación y supervisión humana acorde al impacto.Automatización segura de tareas y respuestasDiagnóstico, demostración anotada y micropráctica de “Automatización segura de tareas y respuestas”.
LC-K-N5-M04-05Evaluar modelos como apoyo limitado y distinguir sus resultados de reglas automatizadas y evidencia primaria.IA aplicada al análisis y a la automatización de seguridadDiagnóstico, demostración anotada y micropráctica de “IA aplicada al análisis y a la automatización de seguridad”.
LC-K-N5-M04-06Evaluar límites de confianza de un sistema con LLM: datos, recuperación, herramientas, permisos, dependencias y supervisión.Seguridad de sistemas de IA y modelos de lenguajeDiagnóstico, demostración anotada y micropráctica de “Seguridad de sistemas de IA y modelos de lenguaje”.
LC-K-N5-M04-07Preparar continuidad y recuperación con objetivos acordados, dependencias, respaldos verificados y ejercicios que midan decisiones…Continuidad de negocio, recuperación ante desastres y ejercicios de crisisDiagnóstico, demostración anotada y micropráctica de “Continuidad de negocio, recuperación ante desastres y ejercicios de crisis”.
LC-K-N5-M04-08Gobernar responsabilidades, dependencias y riesgos de proveedores y usar métricas que apoyen decisiones sin ocultar limitaciones.Gobierno, riesgos de terceros y métricas de seguridadDiagnóstico, demostración anotada y micropráctica de “Gobierno, riesgos de terceros y métricas de seguridad”.
LC-K-N5-M04-09Resolver y comunicar un caso integrado que combina arquitectura, evaluación, incidente, inteligencia, automatización y resiliencia.Proyecto integrador: análisis multidominio, decisiones y presentación de resultadosDiagnóstico, demostración anotada y micropráctica de “Proyecto integrador: análisis multidominio, decisiones y presentación de resultados”.
S
Habilidades
LC-S-N5-M04-01Producir hipótesis, población, datasource, baseline, cobertura y resultado con una fuente verificable.Búsqueda proactiva de amenazas basada en hipótesisLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M04-02Producir fuente, campo, entidad, ventana, regla, caso de prueba y cobertura con una fuente verificable.Diseño y validación de detecciones avanzadasLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M04-03Producir fuente, confianza, vigencia, contexto, tlp, indicador y decisión con una fuente verificable.Análisis y uso operativo de inteligencia de amenazasLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M04-04Producir trigger, permiso, alcance, aprobación, timeout, rollback y auditoría con una fuente verificable.Automatización segura de tareas y respuestasLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M04-05Producir dataset, mecanismo, sensibilidad, salida, fuente, errores y revisión humana con una fuente verificable.IA aplicada al análisis y a la automatización de seguridadLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M04-06Producir modelo y versión, fuente recuperada, identidad, herramienta, permiso, dependencia y salida con una fuente verificable.Seguridad de sistemas de IA y modelos de lenguajeLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M04-07Producir servicio crítico, rto, rpo, dependencia, backup, prueba y comunicación con una fuente verificable.Continuidad de negocio, recuperación ante desastres y ejercicios de crisisLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M04-08Producir proveedor, servicio, dato, dependencia, sla, indicador y decisión con una fuente verificable.Gobierno, riesgos de terceros y métricas de seguridadLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M04-09Producir hipótesis, riesgo, telemetría, decisión, control, resiliencia y comunicación con una fuente verificable.Proyecto integrador: análisis multidominio, decisiones y presentación de resultadosLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
DD-WRL-001Cybersecurity ArchitectureDesign and Development
PD-WRL-003Incident ResponseProtection and Defense
PD-WRL-006Threat AnalysisProtection and Defense
PD-WRL-007Vulnerability AnalysisProtection and Defense
OG-WRL-017Cybersecurity Supply Chain Risk ManagementOversight and Governance
Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.
DIAGNÓSTICO INICIAL · NO BLOQUEANTE
¿Estás listo para inteligencia, automatización y resiliencia?
Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.
Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.
N5 · CAPÍTULO 04
SEDES Y SERVICIOS
Asteria Logistics S.A.
⌁ Buenos Aires · sede central
⌁ Córdoba · centro operativo
⌁ Montevideo · oficina regional
ACTIVOS EN ALCANCE
LAP-FIN-042
Estación de cuentas por pagar
Lucía Ferrer
WS-RRHH-017
Estación de Recursos Humanos
Sofía Ríos
LAP-IT-008
Soporte y administración
Martín Vega
VPN-GW-01
Acceso remoto
Infraestructura
IDENTIDADES CONOCIDAS
Sofía Ríos · s.rios
Recursos Humanos
L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega
Soporte de TI
Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta
Infraestructura
Cuenta privilegiada separada · cambios con ticket
svc_backup
Servicio de respaldo
Ejecución diaria · 02:00 UTC
TELEMETRÍA DISPONIBLE
IdP y acceso privilegiadoCloud control plane y data planeEDR y redCI/CD y procedenciaRuntime de contenedoresAuditoría de proveedores
Cambio más reciente
La API de facturación incorporó un worker cloud y una nueva cadena de build; se revisan permisos y dependencias.
LÍNEA BASE
✓ Límites y responsables documentados
✓ Pruebas autorizadas y reversibles
✓ Backups y telemetría con cobertura conocida
LÍNEA TEMPORAL DE ASTERIA
La organización acumula cambios, excepciones e incidentes.
Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.
7 hitos
Activo
Inventario inicial
DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.
Infraestructura
Conectividad regional
Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.
Identidad
Active Directory
Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.
Control
Telemetría central
EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.
Operación
Apertura del SOC
Se define cola, prioridad, SLA, 5W y handoff entre turnos.
Arquitectura
Integración híbrida y cadena de build
La API, los workloads cloud y el pipeline reciben owners, límites y trazabilidad de artefactos.
Resiliencia
Ejercicio de respuesta y recuperación
Se ensayan decisiones reversibles y dependencias de identidad, datos y proveedores.
Contexto activo en este módulo
MAPA DE DEPENDENCIAS
Conocimientos y conexiones.
Qué necesitás, qué construís y dónde vuelve a aparecer.
TRAZABILIDAD CURRICULAR
ANTES
Conocimientos requeridos
Procesos y archivos
Identidad y permisos
Timestamps y procedencia
→EN ESTE MÓDULO
Secuencia de construcción
01Búsqueda proactiva de amenazas basada en hipótesis
02Diseño y validación de detecciones avanzadas
03Análisis y uso operativo de inteligencia de amenazas
04Automatización segura de tareas y respuestas
05IA aplicada al análisis y a la automatización de seguridad
06Seguridad de sistemas de IA y modelos de lenguaje
→DESPUÉS
Se reutiliza en
N6 · investigación con evidencia distribuida
Laboratorios integradores
Revisiones intercaladas
RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3
Respuesta a incidentes y gestión.
La investigación forma parte de un sistema de gestión. NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.
01Governprepara y reduce riesgo
02Identifyprepara y reduce riesgo
03Protectprepara y reduce riesgo
04Detectrespuesta al incidente
05Respondrespuesta al incidente
06Recoverrespuesta al incidente
ESCENARIO DE APLICACIÓN
Equipo de ciberseguridad avanzada
Un servicio híbrido atraviesa identidad, cloud, software y terceros; una señal de actividad obliga a evaluar riesgo y continuidad con fuentes parciales. El rol es el punto de vista de este caso, no el único perfil profesional de la ruta.
CASO DE PRÁCTICA
CONDICIONES DEL ESCENARIO
○ Arquitectura distribuida
○ Autorización y alcance
○ Evidencia incompleta
○ Decisiones con impacto operativo
ENTREGABLES DEL EJERCICIO
✓ Mapa de arquitectura y riesgos
✓ Evaluación validada y segura
✓ Expediente de respuesta y recuperación
✓ Plan de mejora medible
CRITERIO DE ÉXITO
Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.
HERRAMIENTAS DE OPERACIÓN · DESDE CERO
La consola cambia; el método permanece.
En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.
6 herramientas
Intelligence · CTI
MISP
Compartir eventos, atributos, taxonomías y relaciones de inteligencia de amenazas.
¿Por qué la vas a usar?
La vas a usar para compartir eventos, atributos, taxonomías y relaciones de inteligencia de amenazas.
Cómo instalarla o acceder
Usá una instancia de práctica o el despliegue oficial documentado.
La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.
Primera comprobaciónAbrí la instancia y comprobá que el usuario de laboratorio tenga rol de analista.
Consulta profesionalAsteria phishing exercise · 2026-08-24 · medium · sharing-group-lab
Documentar contexto, distribución, amenaza y atributos.
Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.
CLASES DEL MÓDULO
Cada clase produce evidencia reutilizable.
Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final. Las extensiones agregan profundidad sin reabrir el integrador base.
Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.
0/2 resueltos
CONTROL 1
El feed pide bloquear un dominio
El indicador tiene confianza media, es antiguo y coincide con un dominio de pruebas usado por un proveedor.
Fuente Afuente, campo, entidad, ventana, regla, caso de prueba y coberturaFuente Bfuente, confianza, vigencia, contexto, TLP, indicador y decisión
CONTROL 2
La IA inventó una relación
Un resumen generativo relaciona dos eventos que no comparten identidad ni tiempo en los registros originales.
Fuente Aproveedor, servicio, dato, dependencia, SLA, indicador y decisiónFuente Bhipótesis, riesgo, telemetría, decisión, control, resiliencia y comunicación
PANEL DE DOMINIO
Tu avance separado por capacidad.
Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.
5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 clases con actividad registrada
Inicial0%
InvestigaciónPráctica interactiva y pivotes0 clases con práctica interactiva
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%
INTEGRADOR FINAL DEL MÓDULO
Inteligencia, automatización y resiliencia · expediente integrador
Asteria integra centros propios, identidad cloud, APIs, workloads de contenedores y proveedores dentro de servicios críticos. Una señal incompleta obliga a validar rutas, proteger evidencia y decidir sin perder continuidad ni exceder la autorización. En este expediente vas a reunir lo aprendido en las 9 clases sin recibir una conclusión predeterminada. Es una actividad de cierre propia del módulo, distinta de los laboratorios completos del catálogo.
PRO
⌁
Caso integrador del módulo.
Un caso largo que une todo el módulo. Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.
