La CuevaBLUE TEAM
Rutas›N5›Nube, malware y hunting inicial

RC-N5-M03 · INVESTIGACIÓN SOC L2

Nube, malware y hunting inicial

Tokens, aplicaciones, comportamiento y búsquedas por hipótesis.

6 clases4 herramientas SOC1 caso integrador

Autonomía del nivel. Alcance multihost, preservación, contención reversible y handoff técnico.

CASO TRANSVERSAL
Asteria Logistics S.A.Investigación SOC L2

Hay que confirmar alcance, preservar evidencia y proponer contenciones reversibles.

ESTADO OPERATIVOBorrador local
Clases acreditadas
0/6
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%

MAPA DE COMPETENCIAS · NICE TKS

Lo que vas a poder hacer, comprender y demostrar.

NICE 2.2.0
T

Tareas profesionales

  • LC-T-N5-M03-01Investigar un token usado desde contexto inesperado.Identidad cloud y tokensTarea aplicada y entrega: Principal, app, scope, issuer, device y session.
  • LC-T-N5-M03-02Detectar un consentimiento de alto impacto sin owner.Aplicaciones OAuth y consentimientoTarea aplicada y entrega: App ID, publisher, scope, consent, user y tenant.
  • LC-T-N5-M03-03Construir una secuencia de cambios críticos.Audit logs de nubeTarea aplicada y entrega: Actor, operation, target, source, result y correlation ID.
  • LC-T-N5-M03-04Crear un árbol de comportamiento sin depender del nombre familiar.Comportamiento de malware en endpointTarea aplicada y entrega: Process tree, file, registry, network y credential access.
  • LC-T-N5-M03-05Diseñar un hunt pequeño y medible.Hunting basado en hipótesisTarea aplicada y entrega: Hipótesis, dataset, query, baseline y hallazgo.
  • LC-T-N5-M03-06Registrar cada pivote y su razón.Pivotar sin perder trazabilidadTarea aplicada y entrega: Indicador, entidad, consulta, resultado y confidence.
K

Conocimientos

  • LC-K-N5-M03-01Comprender sesiones, tokens, scopes y revocación.Identidad cloud y tokensDiagnóstico, demostración anotada y micropráctica de “Identidad cloud y tokens”.
  • LC-K-N5-M03-02Evaluar permisos delegados y de aplicación.Aplicaciones OAuth y consentimientoDiagnóstico, demostración anotada y micropráctica de “Aplicaciones OAuth y consentimiento”.
  • LC-K-N5-M03-03Relacionar acción administrativa con actor, recurso y resultado.Audit logs de nubeDiagnóstico, demostración anotada y micropráctica de “Audit logs de nube”.
  • LC-K-N5-M03-04Reconstruir ejecución, persistencia, red y acceso a credenciales.Comportamiento de malware en endpointDiagnóstico, demostración anotada y micropráctica de “Comportamiento de malware en endpoint”.
  • LC-K-N5-M03-05Transformar una sospecha en población, fuentes y criterio de salida.Hunting basado en hipótesisDiagnóstico, demostración anotada y micropráctica de “Hunting basado en hipótesis”.
  • LC-K-N5-M03-06Moverse entre hash, proceso, usuario, host y dominio.Pivotar sin perder trazabilidadDiagnóstico, demostración anotada y micropráctica de “Pivotar sin perder trazabilidad”.
S

Habilidades

  • LC-S-N5-M03-01Producir principal, app, scope, issuer, device y session con una fuente verificable.Identidad cloud y tokensLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M03-02Producir app id, publisher, scope, consent, user y tenant con una fuente verificable.Aplicaciones OAuth y consentimientoLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M03-03Producir actor, operation, target, source, result y correlation id con una fuente verificable.Audit logs de nubeLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M03-04Producir process tree, file, registry, network y credential access con una fuente verificable.Comportamiento de malware en endpointLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M03-05Producir hipótesis, dataset, query, baseline y hallazgo con una fuente verificable.Hunting basado en hipótesisLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N5-M03-06Producir indicador, entidad, consulta, resultado y confidence con una fuente verificable.Pivotar sin perder trazabilidadLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
PD-WRL-003Incident ResponseProtection and Defense
IN-WRL-002Digital Evidence AnalysisInvestigation

Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.

DIAGNÓSTICO INICIAL · NO BLOQUEANTE

¿Estás listo para nube, malware y hunting inicial?

Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.

4 decisiones · 6 min
01Ante “Investigar un token usado desde contexto inesperado.”, ¿qué evidencia mínima responde mejor la pregunta?
02Ante “Detectar un consentimiento de alto impacto sin owner.”, ¿qué evidencia mínima responde mejor la pregunta?
03Ante “Construir una secuencia de cambios críticos.”, ¿qué evidencia mínima responde mejor la pregunta?
04Registrar cada pivote y su razón. ¿Cuál sería el primer movimiento defendible?
Continuar sin diagnóstico

CASO TRANSVERSAL · MUNDO PERSISTENTE

Asteria cambia; su historia no se reinicia.

Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.

N5 · CAPÍTULO 03
SEDES Y SERVICIOS

Asteria Logistics S.A.

⌁ Buenos Aires · sede central

⌁ Córdoba · centro operativo

⌁ Montevideo · oficina regional

ACTIVOS EN ALCANCE
LAP-FIN-042

Estación de cuentas por pagar

Lucía Ferrer
WS-RRHH-017

Estación de Recursos Humanos

Sofía Ríos
LAP-IT-008

Soporte y administración

Martín Vega
VPN-GW-01

Acceso remoto

Infraestructura
IDENTIDADES CONOCIDAS
Sofía Ríos · s.rios

Recursos Humanos

L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega

Soporte de TI

Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta

Infraestructura

Cuenta privilegiada separada · cambios con ticket
svc_backup

Servicio de respaldo

Ejecución diaria · 02:00 UTC
TELEMETRÍA DISPONIBLE
SIEMEDRIdPVPNCorreoFirewallTickets

Cambio más reciente

ERP-BA-01 fue declarado servicio crítico: aislarlo requiere evaluar continuidad de facturación.

LÍNEA BASE

✓ Preservación antes de contención

✓ Aprobación para activos críticos

✓ Seguimiento multihost

LÍNEA TEMPORAL DE ASTERIA

La organización acumula cambios, excepciones e incidentes.

Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.

6 hitos
  1. Activo

    Inventario inicial

    DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.

  2. Infraestructura

    Conectividad regional

    Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.

  3. Identidad

    Active Directory

    Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.

  4. Control

    Telemetría central

    EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.

  5. Operación

    Apertura del SOC

    Se define cola, prioridad, SLA, 5W y handoff entre turnos.

  6. Incidente

    Investigación multihost

    Una identidad conecta endpoint, VPN y ERP; se formaliza preservación previa a contención.

    Contexto activo en este módulo

MAPA DE DEPENDENCIAS

Qué necesitás, qué construís y dónde vuelve a aparecer.

TRAZABILIDAD CURRICULAR
ANTES

Conocimientos requeridos

Procesos y archivos

Identidad y permisos

Timestamps y procedencia

EN ESTE MÓDULO

Secuencia de construcción

01Identidad cloud y tokens

02Aplicaciones OAuth y consentimiento

03Audit logs de nube

04Comportamiento de malware en endpoint

05Hunting basado en hipótesis

06Pivotar sin perder trazabilidad

DESPUÉS

Se reutiliza en

N6 · investigación con evidencia distribuida

Laboratorios integradores

Revisiones intercaladas

RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3

La investigación forma parte de un sistema de gestión.

NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.

  1. 01Governprepara y reduce riesgo
  2. 02Identifyprepara y reduce riesgo
  3. 03Protectprepara y reduce riesgo
  4. 04Detectrespuesta al incidente
  5. 05Respondrespuesta al incidente
  6. 06Recoverrespuesta al incidente

SIMULACIÓN LABORAL ESPECÍFICA

Investigación SOC L2

El caso alcanza varios hosts y un servicio crítico; contención y preservación compiten por tiempo.

CONTEXTO DE TURNO
CONDICIONES REALES

○ Alcance multihost

○ ERP crítico

○ Aprobación de contención

LO QUE PRODUCIRÍA EL ANALISTA

✓ Timeline correlacionada

✓ Alcance

✓ Plan reversible

CRITERIO DE ÉXITO

Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.

HERRAMIENTAS DE OPERACIÓN · DESDE CERO

La consola cambia; el método permanece.

En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.

4 herramientas
Cloud · audit

AWS CloudTrail

Auditar llamadas API, identidades, recursos y cambios en AWS.

PRIMER PASO

No se instala en el endpoint: habilitá un trail o event history en una cuenta de laboratorio.

VERIFICACIÓNaws --version
CONSULTA PROFESIONALaws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=ConsoleLogin --profile lab-readonly

Buscar eventos de administración por nombre, usuario o ventana.

Timeline cloudDocumentación oficial ↗
Endpoint · EDR

Microsoft Defender for Endpoint

Investigar dispositivos, procesos, conexiones, vulnerabilidades y acciones de respuesta.

PRIMER PASO

Es un servicio administrado: incorporá solo dispositivos de laboratorio.

VERIFICACIÓNRevisá Device inventory y Advanced Hunting en el portal de prueba.
CONSULTA PROFESIONALDeviceProcessEvents | where ProcessCommandLine has 'encoded' | project Timestamp,DeviceName,AccountName,ProcessCommandLine

Pivotar desde proceso a usuario, hash, archivo y dispositivo.

Timeline EDRDocumentación oficial ↗
Intelligence · CTI

MISP

Compartir eventos, atributos, taxonomías y relaciones de inteligencia de amenazas.

PRIMER PASO

Usá una instancia de práctica o el despliegue oficial documentado.

VERIFICACIÓNAbrí la instancia y comprobá que el usuario de laboratorio tenga rol de analista.
CONSULTA PROFESIONALAsteria phishing exercise · 2026-08-24 · medium · sharing-group-lab

Documentar contexto, distribución, amenaza y atributos.

Evento CTIDocumentación oficial ↗
Malware · clasificación

YARA

Crear reglas explicables para clasificar archivos por patrones y contexto.

PRIMER PASO

Linux: sudo apt install yara.

VERIFICACIÓNyara --version
CONSULTA PROFESIONALyara -s suspicious_loader.yar ./samples/fixture.bin

Aplicar una regla y mostrar las cadenas que coincidieron.

Regla YARADocumentación oficial ↗

Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.

CLASES DEL MÓDULO

Cada clase produce evidencia reutilizable.

Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final.

6 expedientes
  1. 01
    Identidad cloud y tokens

    Comprender sesiones, tokens, scopes y revocación.

    102–122 min · evidencia: Principal, app, scope, issuer, device y session
    LABPRO0%→
  2. 02
    Aplicaciones OAuth y consentimiento

    Evaluar permisos delegados y de aplicación.

    111–131 min · evidencia: App ID, publisher, scope, consent, user y tenant
    LABPRO0%🔒
  3. 03
    Audit logs de nube

    Relacionar acción administrativa con actor, recurso y resultado.

    111–131 min · evidencia: Actor, operation, target, source, result y correlation ID
    LABPRO0%🔒
  4. 04
    Comportamiento de malware en endpoint

    Reconstruir ejecución, persistencia, red y acceso a credenciales.

    102–122 min · evidencia: Process tree, file, registry, network y credential access
    LABPRO0%🔒
  5. 05
    Hunting basado en hipótesis

    Transformar una sospecha en población, fuentes y criterio de salida.

    102–122 min · evidencia: Hipótesis, dataset, query, baseline y hallazgo
    LABPRO0%🔒
  6. 06
    Pivotar sin perder trazabilidad

    Moverse entre hash, proceso, usuario, host y dominio.

    102–122 min · evidencia: Indicador, entidad, consulta, resultado y confidence
    LABPRO0%🔒

EXPEDIENTE ACUMULATIVO DE ASTERIA

El integrador comienza con lo que ya produjiste.

Consultas, comandos, evidencia, informes y decisiones quedan asociados a la clase que los originó.

0 evidencias
ClaseEvidenciasComandosInformeEstado
Identidad cloud y tokens00PendienteEn curso
Audit logs de nube00PendienteEn curso
Hunting basado en hipótesis00PendienteEn curso

Decisiones e hipótesis descartadas

Todavía no agregaste una decisión transversal.

CONTROLES INTERMEDIOS · CANTIDAD VARIABLE

Corregí el rumbo antes del laboratorio final.

Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.

0/1 resueltos
CONTROL 1

Caso de transferencia

Otra área de Asteria presenta una señal equivalente a “Aplicaciones OAuth y consentimiento”, con una fuente contradictoria.

Fuente APrincipal, app, scope, issuer, device y sessionFuente BIndicador, entidad, consulta, resultado y confidence

PANEL DE DOMINIO

Tu avance separado por capacidad.

Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.

5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 expedientes con autoridad
Inicial0%
InvestigaciónLaboratorios y pivotes0 laboratorios observados
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%

LABORATORIO FINAL INTEGRADOR

Nube, malware y hunting inicial · expediente integrador

Varias alertas afectan identidades, endpoints y red al mismo tiempo. Hay que confirmar alcance, preservar evidencia y proponer contenciones reversibles. En este expediente vas a reunir lo aprendido en las 6 clases sin recibir una conclusión predeterminada.

PRO

Un caso largo para unir todo el módulo.

Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.

Desbloquear con Pro ↗

DIAGNÓSTICO FINAL · COMPARACIÓN

Resolvé una variante y compará cómo cambió tu criterio.

No repite las opciones en el mismo orden. Mide decisiones, errores que desaparecieron y áreas que todavía requieren práctica.

4 decisiones · 6 min
Disponible al acreditar todas las clases.

El diagnóstico inicial nunca bloquea; esta comparación aparece al final para medir transferencia real.

REFERENCIAS Y VIGENCIA

Contenido trazable, comprobado y preparado para revisión.

PRÓXIMA REVISIÓN · 24 de noviembre de 2026
NICE

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

Ver marco oficial ↗
MITRE ATT&CK

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

Remote Services · Account Discovery · Multi-event detection analytics

Ver estrategias de detección ↗
RESPUESTA A INCIDENTES

NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.

Ver publicación oficial ↗
VERSIÓN

3.2.0 · actualizada 24 de agosto de 2026

AWS CloudTrail · Microsoft Defender for Endpoint · MISP · YARA · imágenes, logs y capturas sanitizadas de práctica

Última verificación práctica: 24 de agosto de 2026 · comandos, fixtures, timestamps y claves de evaluación
HERRAMIENTAS AFECTADAS

AWS CloudTrail

Microsoft Defender for Endpoint

MISP

YARA

COMANDOS COMPROBADOS

✓ AWS CloudTrail: aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=ConsoleLogin --profile lab-readonly

✓ Microsoft Defender for Endpoint: DeviceProcessEvents | where ProcessCommandLine has 'encoded' | project Timestamp,DeviceName,AccountName,ProcessCommandLine

✓ MISP: Asteria phishing exercise · 2026-08-24 · medium · sharing-group-lab

✓ YARA: yara -s suspicious_loader.yar ./samples/fixture.bin

FUENTES PROFESIONALES

NICE Framework Components v2.2.0

MITRE ATT&CK v19.2

NIST SP 800-61 Rev. 3

AWS CloudTrail · documentación oficial

Microsoft Defender for Endpoint · documentación oficial

MISP · documentación oficial

CAMBIOS DE ESTA VERSIÓN

+ Catálogo SOC por nivel y herramienta

+ 12 clases canónicas sin duplicados

+ Laboratorios con evidencia sin etiquetas de solución

+ Traducción técnica y fuentes profesionales revisadas