Rutas›N5›Investigación, contención y recuperación de incidentes
RC-N5-M03 · CIBERSEGURIDAD AVANZADA
Investigación, contención y recuperación de incidentes
Coordinar investigaciones multifuente con evidencia incompleta y recuperar servicios sin sacrificar trazabilidad ni continuidad.
8 clases6 herramientas1 caso integrador14 h 20 min–15 h 40 min clases base · aprox. · sin integrador
Autonomía del nivel. Integrar arquitectura, evaluación autorizada, investigación, respuesta y resiliencia con evidencia.
CASO TRANSVERSAL
Asteria Logistics S.A.Arquitectura, evaluación y respuesta avanzada
Una señal incompleta obliga a validar rutas, proteger evidencia y decidir sin perder continuidad ni exceder la autorización.
ESTADO OPERATIVOBorrador local
Clases base acreditadas
0/8
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%
MAPA DE COMPETENCIAS · NICE TKS
Habilidades y conocimientos.
Vas a poder hacer, comprender y demostrar estas competencias con evidencias de las clases.
NICE 2.2.0
T
Tareas profesionales
LC-T-N5-M03-01Construir un mapa de coordinación y un cuadro de decisiones para un incidente ficticio de varios dominios.Coordinación, responsabilidades, alcance y dependencias durante un incidenteTarea aplicada y entrega: comandante, owner, activo, dependencia, decisión, aprobación y estado.
LC-T-N5-M03-02Aplicar una tabla de hipótesis, evidencia a favor/en contra, confianza y siguiente prueba segura.Construcción y revisión de hipótesis en investigaciones complejasTarea aplicada y entrega: hecho, inferencia, hipótesis, fuente, contradicción y confianza.
LC-T-N5-M03-03Completar un plan de adquisición y una cadena de custodia con integridad y transferencias verificables.Preservación de evidencias y cadena de custodiaTarea aplicada y entrega: fuente, adquisición, hash, reloj, custodio, transferencia y retención.
LC-T-N5-M03-04Relacionar eventos de identidad, endpoint, red, SaaS y nube sin duplicar ni inventar vínculos.Correlación de fuentes multihost y análisis de datos faltantesTarea aplicada y entrega: event time, ingest time, identidad, host, correlación, gap y retención.
LC-T-N5-M03-05Construir un análisis de impacto y alcance que separe artefactos observados, capacidad posible e hipótesis alternativas.Análisis del impacto de intrusiones y actividad de malwareTarea aplicada y entrega: hash, proceso, artefacto, persistencia, identidad, conexión e impacto.
LC-T-N5-M03-06Comparar opciones de contención y justificar una secuencia de decisiones con owners y criterios de revisión.Decisiones de contención, alcance y reversibilidadTarea aplicada y entrega: alcance, impacto, acción, autorización, reversión, preservación y revisión.
LC-T-N5-M03-07Preparar un plan de erradicación y recuperación por etapas con criterios de entrada/salida y evidencia posterior.Erradicación, recuperación operativa y validación posteriorTarea aplicada y entrega: causa, imagen confiable, dependencia, restauración, prueba y monitoreo.
LC-T-N5-M03-08Entregar timeline, matriz de alcance, registro de decisiones, plan de preservación, contención, recuperación y comunicación.Laboratorio: plan completo para contener, preservar y recuperarTarea aplicada y entrega: timeline, confianza, custodia, alcance, decisión, rollback y recuperación.
K
Conocimientos
LC-K-N5-M03-01Organizar una respuesta con responsables técnicos y de negocio, alcance cambiante, servicios dependientes y decisiones registradas.Coordinación, responsabilidades, alcance y dependencias durante un incidenteDiagnóstico, demostración anotada y micropráctica de “Coordinación, responsabilidades, alcance y dependencias durante un incidente”.
LC-K-N5-M03-02Construir explicaciones competidoras que puedan probarse y actualizarse cuando fuentes distintas discrepan.Construcción y revisión de hipótesis en investigaciones complejasDiagnóstico, demostración anotada y micropráctica de “Construcción y revisión de hipótesis en investigaciones complejas”.
LC-K-N5-M03-03Preservar evidencias digitales de manera proporcional, trazable y acorde a volatilidad, autoridad, privacidad y propósito de la inv…Preservación de evidencias y cadena de custodiaDiagnóstico, demostración anotada y micropráctica de “Preservación de evidencias y cadena de custodia”.
LC-K-N5-M03-04Construir una secuencia entre hosts y servicios con normalización temporal, resolución de entidades y cobertura explícita.Correlación de fuentes multihost y análisis de datos faltantesDiagnóstico, demostración anotada y micropráctica de “Correlación de fuentes multihost y análisis de datos faltantes”.
LC-K-N5-M03-05Evaluar capacidades y consecuencias potenciales de una actividad sospechosa con evidencia estática y telemetría, sin ejecutar muest…Análisis del impacto de intrusiones y actividad de malwareDiagnóstico, demostración anotada y micropráctica de “Análisis del impacto de intrusiones y actividad de malware”.
LC-K-N5-M03-06Elegir acciones que reduzcan daño considerando alcance probado, volatilidad, impacto de negocio, autorización y posibilidad de reve…Decisiones de contención, alcance y reversibilidadDiagnóstico, demostración anotada y micropráctica de “Decisiones de contención, alcance y reversibilidad”.
LC-K-N5-M03-07Eliminar causas confirmadas y restaurar servicios desde fuentes confiables con validaciones técnicas, de negocio y de monitoreo.Erradicación, recuperación operativa y validación posteriorDiagnóstico, demostración anotada y micropráctica de “Erradicación, recuperación operativa y validación posterior”.
LC-K-N5-M03-08Coordinar un incidente ficticio que atraviesa identidad, endpoint, red, nube y un servicio crítico con fuentes parciales y priorida…Laboratorio: plan completo para contener, preservar y recuperarDiagnóstico, demostración anotada y micropráctica de “Laboratorio: plan completo para contener, preservar y recuperar”.
S
Habilidades
LC-S-N5-M03-01Producir comandante, owner, activo, dependencia, decisión, aprobación y estado con una fuente verificable.Coordinación, responsabilidades, alcance y dependencias durante un incidenteLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M03-02Producir hecho, inferencia, hipótesis, fuente, contradicción y confianza con una fuente verificable.Construcción y revisión de hipótesis en investigaciones complejasLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M03-03Producir fuente, adquisición, hash, reloj, custodio, transferencia y retención con una fuente verificable.Preservación de evidencias y cadena de custodiaLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M03-04Producir event time, ingest time, identidad, host, correlación, gap y retención con una fuente verificable.Correlación de fuentes multihost y análisis de datos faltantesLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M03-05Producir hash, proceso, artefacto, persistencia, identidad, conexión e impacto con una fuente verificable.Análisis del impacto de intrusiones y actividad de malwareLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M03-06Producir alcance, impacto, acción, autorización, reversión, preservación y revisión con una fuente verificable.Decisiones de contención, alcance y reversibilidadLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M03-07Producir causa, imagen confiable, dependencia, restauración, prueba y monitoreo con una fuente verificable.Erradicación, recuperación operativa y validación posteriorLaboratorio individual, validación de evidencia e informe final.
LC-S-N5-M03-08Producir timeline, confianza, custodia, alcance, decisión, rollback y recuperación con una fuente verificable.Laboratorio: plan completo para contener, preservar y recuperarLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
DD-WRL-001Cybersecurity ArchitectureDesign and Development
PD-WRL-003Incident ResponseProtection and Defense
PD-WRL-006Threat AnalysisProtection and Defense
PD-WRL-007Vulnerability AnalysisProtection and Defense
OG-WRL-017Cybersecurity Supply Chain Risk ManagementOversight and Governance
Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.
DIAGNÓSTICO INICIAL · NO BLOQUEANTE
¿Estás listo para investigación, contención y recuperación de incidentes?
Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.
Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.
N5 · CAPÍTULO 03
SEDES Y SERVICIOS
Asteria Logistics S.A.
⌁ Buenos Aires · sede central
⌁ Córdoba · centro operativo
⌁ Montevideo · oficina regional
ACTIVOS EN ALCANCE
LAP-FIN-042
Estación de cuentas por pagar
Lucía Ferrer
WS-RRHH-017
Estación de Recursos Humanos
Sofía Ríos
LAP-IT-008
Soporte y administración
Martín Vega
VPN-GW-01
Acceso remoto
Infraestructura
IDENTIDADES CONOCIDAS
Sofía Ríos · s.rios
Recursos Humanos
L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega
Soporte de TI
Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta
Infraestructura
Cuenta privilegiada separada · cambios con ticket
svc_backup
Servicio de respaldo
Ejecución diaria · 02:00 UTC
TELEMETRÍA DISPONIBLE
IdP y acceso privilegiadoCloud control plane y data planeEDR y redCI/CD y procedenciaRuntime de contenedoresAuditoría de proveedores
Cambio más reciente
La API de facturación incorporó un worker cloud y una nueva cadena de build; se revisan permisos y dependencias.
LÍNEA BASE
✓ Límites y responsables documentados
✓ Pruebas autorizadas y reversibles
✓ Backups y telemetría con cobertura conocida
LÍNEA TEMPORAL DE ASTERIA
La organización acumula cambios, excepciones e incidentes.
Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.
7 hitos
Activo
Inventario inicial
DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.
Infraestructura
Conectividad regional
Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.
Identidad
Active Directory
Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.
Control
Telemetría central
EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.
Operación
Apertura del SOC
Se define cola, prioridad, SLA, 5W y handoff entre turnos.
Arquitectura
Integración híbrida y cadena de build
La API, los workloads cloud y el pipeline reciben owners, límites y trazabilidad de artefactos.
Resiliencia
Ejercicio de respuesta y recuperación
Se ensayan decisiones reversibles y dependencias de identidad, datos y proveedores.
Contexto activo en este módulo
MAPA DE DEPENDENCIAS
Conocimientos y conexiones.
Qué necesitás, qué construís y dónde vuelve a aparecer.
TRAZABILIDAD CURRICULAR
ANTES
Conocimientos requeridos
Procesos y archivos
Identidad y permisos
Timestamps y procedencia
→EN ESTE MÓDULO
Secuencia de construcción
01Coordinación, responsabilidades, alcance y dependencias durante un incidente
02Construcción y revisión de hipótesis en investigaciones complejas
03Preservación de evidencias y cadena de custodia
04Correlación de fuentes multihost y análisis de datos faltantes
05Análisis del impacto de intrusiones y actividad de malware
06Decisiones de contención, alcance y reversibilidad
→DESPUÉS
Se reutiliza en
N6 · investigación con evidencia distribuida
Laboratorios integradores
Revisiones intercaladas
RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3
Respuesta a incidentes y gestión.
La investigación forma parte de un sistema de gestión. NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.
01Governprepara y reduce riesgo
02Identifyprepara y reduce riesgo
03Protectprepara y reduce riesgo
04Detectrespuesta al incidente
05Respondrespuesta al incidente
06Recoverrespuesta al incidente
ESCENARIO DE APLICACIÓN
Equipo de ciberseguridad avanzada
Un servicio híbrido atraviesa identidad, cloud, software y terceros; una señal de actividad obliga a evaluar riesgo y continuidad con fuentes parciales. El rol es el punto de vista de este caso, no el único perfil profesional de la ruta.
CASO DE PRÁCTICA
CONDICIONES DEL ESCENARIO
○ Arquitectura distribuida
○ Autorización y alcance
○ Evidencia incompleta
○ Decisiones con impacto operativo
ENTREGABLES DEL EJERCICIO
✓ Mapa de arquitectura y riesgos
✓ Evaluación validada y segura
✓ Expediente de respuesta y recuperación
✓ Plan de mejora medible
CRITERIO DE ÉXITO
Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.
HERRAMIENTAS DE OPERACIÓN · DESDE CERO
La consola cambia; el método permanece.
En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.
6 herramientas
DFIR · endpoint
Velociraptor
Adquisición y hunting de endpoints mediante VQL y artefactos.
¿Por qué la vas a usar?
La vas a usar para adquisición y hunting de endpoints mediante VQL y artefactos.
Cómo instalarla o acceder
Descargá el binario oficial o usá el servidor de práctica de la academia.
La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.
Primera comprobaciónvelociraptor version
Consulta profesionalvelociraptor query 'SELECT * FROM info()'
Ejecutar una consulta VQL de lectura sobre un endpoint de práctica.
Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.
CLASES DEL MÓDULO
Cada clase produce evidencia reutilizable.
Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final. Las extensiones agregan profundidad sin reabrir el integrador base.
Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.
0/2 resueltos
CONTROL 1
Contener antes de entender el impacto
Una identidad con actividad anómala controla un servicio necesario para facturar; la telemetría confirma una sesión, pero no el host de origen.
Fuente Ahecho, inferencia, hipótesis, fuente, contradicción y confianzaFuente Bfuente, adquisición, hash, reloj, custodio, transferencia y retención
CONTROL 2
El respaldo pasó, el servicio no
Una restauración de datos termina sin error, pero el servicio no puede autenticar porque su proveedor de identidad todavía está caído.
Fuente Acausa, imagen confiable, dependencia, restauración, prueba y monitoreoFuente Btimeline, confianza, custodia, alcance, decisión, rollback y recuperación
PANEL DE DOMINIO
Tu avance separado por capacidad.
Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.
5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 clases con actividad registrada
Inicial0%
InvestigaciónPráctica interactiva y pivotes0 clases con práctica interactiva
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%
INTEGRADOR FINAL DEL MÓDULO
Investigación, contención y recuperación de incidentes · expediente integrador
Asteria integra centros propios, identidad cloud, APIs, workloads de contenedores y proveedores dentro de servicios críticos. Una señal incompleta obliga a validar rutas, proteger evidencia y decidir sin perder continuidad ni exceder la autorización. En este expediente vas a reunir lo aprendido en las 8 clases sin recibir una conclusión predeterminada. Es una actividad de cierre propia del módulo, distinta de los laboratorios completos del catálogo.
PRO
⌁
Caso integrador del módulo.
Un caso largo que une todo el módulo. Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.
