Construí una visión compartida y coordiná decisiones técnicas y operativas cuando la evidencia está incompleta y hay impactos cruzados.
8 clases4 herramientas1 caso integrador14 h 20 min–15 h 40 min clases base · aprox. · sin integrador
Autonomía del nivel. Desafíos transversales de riesgo, controles, coordinación, comunicación y mejora con evidencia y límites explícitos.
CASO TRANSVERSAL
Asteria Logistics S.A.Profesionalización y especialización
La evidencia y la autoridad son parciales; las recomendaciones deben equilibrar riesgo, operación y límites verificables.
ESTADO OPERATIVOBorrador local
Clases base acreditadas
0/8
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%
MAPA DE COMPETENCIAS · NICE TKS
Habilidades y conocimientos.
Vas a poder hacer, comprender y demostrar estas competencias con evidencias de las clases.
NICE 2.2.0
T
Tareas profesionales
LC-T-N6-M03-01Completar una estructura de coordinación ficticia y asignar responsables a decisiones de contención, continuidad y comunicación.Coordinación, responsabilidades y comunicación durante una crisisTarea aplicada y entrega: comandante, equipos, autoridad, canal, cadencia, situación y escalamiento.
LC-T-N6-M03-02Fusionar artefactos sintéticos de varias áreas y producir un resumen común con fuentes, discrepancias y huecos.Construcción de una visión común a partir de evidencias incompletasTarea aplicada y entrega: fuente, entidad, hora, cobertura, corroboración, discrepancia y confianza.
LC-T-N6-M03-03Evaluar explicaciones rivales de un caso ficticio y mantener un registro explícito de confianza, supuestos y próxima prueba.Comparación de hipótesis y registro de incertidumbreTarea aplicada y entrega: hipótesis, observación, alternativa, predicción, confianza y dato discriminante.
LC-T-N6-M03-04Preparar una decisión estructurada para un evento ficticio con tres alternativas y consecuencias distintas.Decisiones técnicas considerando impacto operativo y riesgoTarea aplicada y entrega: opción, evidencia, riesgo, impacto, reversibilidad, aprobación y condición de revisión.
LC-T-N6-M03-05Planificar un intercambio interfuncional de información para un incidente ficticio con datos sensibles y continuidad en juego.Coordinación entre equipos técnicos, dirección y áreas pertinentesTarea aplicada y entrega: público, necesidad, dato mínimo, dueño, aprobación, canal y plazo.
LC-T-N6-M03-06Reconstruir un expediente ficticio con entradas duplicadas y lagunas, y proponer un registro que permita revisión independiente.Trazabilidad de decisiones, evidencias y accionesTarea aplicada y entrega: ID, fuente, hora original, transformación, autor, decisión, aprobación y resultado.
LC-T-N6-M03-07Evaluar criterios ficticios de recuperación, validar dependencias y redactar una recomendación de retorno con riesgos pendientes.Criterios de recuperación y aceptación del riesgo residualTarea aplicada y entrega: causa contenida, integridad, identidad, monitoreo, dueño, residual y autorización de retorno.
LC-T-N6-M03-08Coordinar un ejercicio sintético con fuentes incompletas y entregar registro de situación, decisiones justificadas y criterios de r…Ejercicio integrador: coordinar una respuesta y justificar las decisionesTarea aplicada y entrega: timeline, hipótesis, autoridad, decisión, impacto, comunicación y recuperación.
K
Conocimientos
LC-K-N6-M03-01Organizar autoridad, roles, canales, cadencia y criterios de escalamiento para una crisis con impacto técnico y operativo.Coordinación, responsabilidades y comunicación durante una crisisDiagnóstico, demostración anotada y micropráctica de “Coordinación, responsabilidades y comunicación durante una crisis”.
LC-K-N6-M03-02Combinar reportes y telemetría parcial en una imagen de situación que diferencie alcance confirmado, probable y desconocido.Construcción de una visión común a partir de evidencias incompletasDiagnóstico, demostración anotada y micropráctica de “Construcción de una visión común a partir de evidencias incompletas”.
LC-K-N6-M03-03Construir hipótesis alternativas falsables, estimar su compatibilidad con datos observados y priorizar evidencia que pueda discrimi…Comparación de hipótesis y registro de incertidumbreDiagnóstico, demostración anotada y micropráctica de “Comparación de hipótesis y registro de incertidumbre”.
LC-K-N6-M03-04Comparar opciones de contención o cambio según evidencia, reducción de riesgo, efecto en servicio, reversibilidad y autoridad.Decisiones técnicas considerando impacto operativo y riesgoDiagnóstico, demostración anotada y micropráctica de “Decisiones técnicas considerando impacto operativo y riesgo”.
LC-K-N6-M03-05Traducir una situación en tareas coordinadas para tecnología, negocio, privacidad, legal y comunicación según autoridad y necesidad.Coordinación entre equipos técnicos, dirección y áreas pertinentesDiagnóstico, demostración anotada y micropráctica de “Coordinación entre equipos técnicos, dirección y áreas pertinentes”.
LC-K-N6-M03-06Mantener un registro cronológico y auditable que conecte fuente, interpretación, decisión, aprobador, ejecución y resultado.Trazabilidad de decisiones, evidencias y accionesDiagnóstico, demostración anotada y micropráctica de “Trazabilidad de decisiones, evidencias y acciones”.
LC-K-N6-M03-07Definir evidencia y autoridad necesarias para recuperar un servicio y aceptar riesgo residual después de una contención o crisis.Criterios de recuperación y aceptación del riesgo residualDiagnóstico, demostración anotada y micropráctica de “Criterios de recuperación y aceptación del riesgo residual”.
LC-K-N6-M03-08Resolver una situación compleja como equipo, integrando alcance, hipótesis, impacto, coordinación, decisiones reversibles y comunic…Ejercicio integrador: coordinar una respuesta y justificar las decisionesDiagnóstico, demostración anotada y micropráctica de “Ejercicio integrador: coordinar una respuesta y justificar las decisiones”.
S
Habilidades
LC-S-N6-M03-01Producir comandante, equipos, autoridad, canal, cadencia, situación y escalamiento con una fuente verificable.Coordinación, responsabilidades y comunicación durante una crisisLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M03-02Producir fuente, entidad, hora, cobertura, corroboración, discrepancia y confianza con una fuente verificable.Construcción de una visión común a partir de evidencias incompletasLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M03-03Producir hipótesis, observación, alternativa, predicción, confianza y dato discriminante con una fuente verificable.Comparación de hipótesis y registro de incertidumbreLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M03-04Producir opción, evidencia, riesgo, impacto, reversibilidad, aprobación y condición de revisión con una fuente verificable.Decisiones técnicas considerando impacto operativo y riesgoLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M03-05Producir público, necesidad, dato mínimo, dueño, aprobación, canal y plazo con una fuente verificable.Coordinación entre equipos técnicos, dirección y áreas pertinentesLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M03-06Producir id, fuente, hora original, transformación, autor, decisión, aprobación y resultado con una fuente verificable.Trazabilidad de decisiones, evidencias y accionesLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M03-07Producir causa contenida, integridad, identidad, monitoreo, dueño, residual y autorización de retorno con una fuente verificable.Criterios de recuperación y aceptación del riesgo residualLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M03-08Producir timeline, hipótesis, autoridad, decisión, impacto, comunicación y recuperación con una fuente verificable.Ejercicio integrador: coordinar una respuesta y justificar las decisionesLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
PD-WRL-006Threat AnalysisProtection and Defense
PD-WRL-003Incident ResponseProtection and Defense
Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.
DIAGNÓSTICO INICIAL · NO BLOQUEANTE
¿Estás listo para coordinación de situaciones complejas?
Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.
Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.
N6 · CAPÍTULO 03
SEDES Y SERVICIOS
Asteria Logistics S.A.
⌁ Buenos Aires · sede central
⌁ Córdoba · centro operativo
⌁ Montevideo · oficina regional
ACTIVOS EN ALCANCE
LAP-FIN-042
Estación de cuentas por pagar
Lucía Ferrer
WS-RRHH-017
Estación de Recursos Humanos
Sofía Ríos
LAP-IT-008
Soporte y administración
Martín Vega
VPN-GW-01
Acceso remoto
Infraestructura
IDENTIDADES CONOCIDAS
Sofía Ríos · s.rios
Recursos Humanos
L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega
Soporte de TI
Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta
Infraestructura
Cuenta privilegiada separada · cambios con ticket
svc_backup
Servicio de respaldo
Ejecución diaria · 02:00 UTC
TELEMETRÍA DISPONIBLE
SIEMEDRIdPVPNCorreoFirewallTickets
Cambio más reciente
Un proyecto sintético de exportación requiere validar controles, comunicar una brecha y acordar una mejora con su responsable.
LÍNEA BASE
✓ Dueños y criterios de aceptación identificados
✓ Pruebas de control y recuperación documentadas
✓ Decisiones comunicadas con alcance y riesgo residual
LÍNEA TEMPORAL DE ASTERIA
La organización acumula cambios, excepciones e incidentes.
Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.
7 hitos
Activo
Inventario inicial
DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.
Infraestructura
Conectividad regional
Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.
Identidad
Active Directory
Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.
Control
Telemetría central
EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.
Operación
Apertura del SOC
Se define cola, prioridad, SLA, 5W y handoff entre turnos.
Incidente
Investigación multihost
Una identidad conecta endpoint, VPN y ERP; se formaliza preservación previa a contención.
Mejora
Aseguramiento y continuidad
Una revisión de controles prioriza evidencia, recuperación probada, responsables y acciones verificables.
Contexto activo en este módulo
MAPA DE DEPENDENCIAS
Conocimientos y conexiones.
Qué necesitás, qué construís y dónde vuelve a aparecer.
TRAZABILIDAD CURRICULAR
ANTES
Conocimientos requeridos
Procesos y archivos
Identidad y permisos
Timestamps y procedencia
→EN ESTE MÓDULO
Secuencia de construcción
01Coordinación, responsabilidades y comunicación durante una crisis
02Construcción de una visión común a partir de evidencias incompletas
03Comparación de hipótesis y registro de incertidumbre
04Decisiones técnicas considerando impacto operativo y riesgo
05Coordinación entre equipos técnicos, dirección y áreas pertinentes
06Trazabilidad de decisiones, evidencias y acciones
→DESPUÉS
Se reutiliza en
Evaluación profesional
Coordinación basada en evidencia
Proyecto y comunicación ejecutiva
RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3
Respuesta a incidentes y gestión.
La investigación forma parte de un sistema de gestión. NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.
01Governprepara y reduce riesgo
02Identifyprepara y reduce riesgo
03Protectprepara y reduce riesgo
04Detectrespuesta al incidente
05Respondrespuesta al incidente
06Recoverrespuesta al incidente
ESCENARIO DE APLICACIÓN
Profesionalización en ciberseguridad
Integrás evidencia, riesgo y continuidad para recomendar una mejora a responsables técnicos y de negocio. El rol es el punto de vista de este caso, no el único perfil profesional de la ruta.
CASO DE PRÁCTICA
CONDICIONES DEL ESCENARIO
○ Alcance sintético definido
○ Fuentes incompletas
○ Decisiones con impacto operativo
ENTREGABLES DEL EJERCICIO
✓ Evaluación de riesgos
✓ Matriz de controles
✓ Informe y presentación de proyecto
CRITERIO DE ÉXITO
Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.
HERRAMIENTAS DE OPERACIÓN · DESDE CERO
La consola cambia; el método permanece.
En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.
4 herramientas
SOC · case management
TheHive
Gestión de casos, tareas, observables y colaboración para respuesta a incidentes.
¿Por qué la vas a usar?
La vas a usar para organizar alertas, tareas, evidencias y responsables de un caso.
Cómo instalarla o acceder
Seguí la documentación oficial o el despliegue de laboratorio provisto por la academia.
La práctica web ya está preparada; para repetirla localmente usá una VM o un entorno autorizado.
Primera comprobaciónAbrí la consola web y comprobá que el estado del servicio sea healthy.
Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.
CLASES DEL MÓDULO
Cada clase produce evidencia reutilizable.
Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final. Las extensiones agregan profundidad sin reabrir el integrador base.
Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.
0/2 resueltos
CONTROL 1
Dos fuentes, dos horarios
IdP y endpoint muestran actividad a la misma hora visible, pero usan zonas distintas y un identificador de host cambió.
Fuente Afuente, entidad, hora, cobertura, corroboración, discrepancia y confianzaFuente Bhipótesis, observación, alternativa, predicción, confianza y dato discriminante
CONTROL 2
Contención con impacto
La revocación completa de un principal detendría la facturación y el alcance confirmado es una sesión.
Fuente Acausa contenida, integridad, identidad, monitoreo, dueño, residual y autorización de retornoFuente Btimeline, hipótesis, autoridad, decisión, impacto, comunicación y recuperación
PANEL DE DOMINIO
Tu avance separado por capacidad.
Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.
5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 clases con actividad registrada
Inicial0%
InvestigaciónPráctica interactiva y pivotes0 clases con práctica interactiva
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%
INTEGRADOR FINAL DEL MÓDULO
Coordinación de situaciones complejas · expediente integrador
Asteria integra responsabilidades, riesgos, controles, proveedores y continuidad en servicios que requieren decisiones trazables. La evidencia y la autoridad son parciales; las recomendaciones deben equilibrar riesgo, operación y límites verificables. En este expediente vas a reunir lo aprendido en las 8 clases sin recibir una conclusión predeterminada. Es una actividad de cierre propia del módulo, distinta de los laboratorios completos del catálogo.
PRO
⌁
Caso integrador del módulo.
Un caso largo que une todo el módulo. Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.
