Del comportamiento adversario a reglas mantenibles y medibles.
7 clases4 herramientas SOC1 caso integrador
Autonomía del nivel. Hunts abiertos, ingeniería de detección, métricas y comunicación ejecutiva sin una única respuesta.
CASO TRANSVERSAL
Asteria Logistics S.A.Hunting y mejora SOC L3
La evidencia es ambigua y no existe una única respuesta; las decisiones deben defenderse técnica y ejecutivamente.
ESTADO OPERATIVOBorrador local
Clases acreditadas
0/7
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%
MAPA DE COMPETENCIAS · NICE TKS
Lo que vas a poder hacer, comprender y demostrar.
NICE 2.2.0
T
Tareas profesionales
LC-T-N6-M01-01Especificar una detección antes de escribir sintaxis.De hipótesis a lógica de detecciónTarea aplicada y entrega: Hipótesis, fuente, selector, condición, contexto y salida.
LC-T-N6-M01-02Convertir una hipótesis en Sigma y probarla contra fixtures positivos y negativos.Diseñar una detección Sigma mantenibleTarea aplicada y entrega: Logsource, selector, condition, field mapping, test y version.
LC-T-N6-M01-03Construir una regla portable con campos disponibles.Sigma: estructura y camposTarea aplicada y entrega: Producto, servicio, selector, condición, falsepositives y tags.
LC-T-N6-M01-04Detectar una regla imposible por telemetría ausente.Calidad de datos y normalizaciónTarea aplicada y entrega: Schema, parser, field, null, timestamp y entity.
LC-T-N6-M01-05Diseñar exclusiones auditables sin ocultar abuso.Baseline y reducción de ruidoTarea aplicada y entrega: Volumen, cardinalidad, allowlist, owner y vencimiento.
LC-T-N6-M01-06Crear una batería mínima de pruebas.Pruebas y regresión de deteccionesTarea aplicada y entrega: Fixture, expected, false positive, coverage y version.
LC-T-N6-M01-07Definir cuándo ajustar, retirar o promover una regla.Ciclo de vida y métricas de una reglaTarea aplicada y entrega: Version, owner, hit rate, precision, gap y review.
K
Conocimientos
LC-K-N6-M01-01Traducir comportamiento observable a condiciones y fuentes.De hipótesis a lógica de detecciónDiagnóstico, demostración anotada y micropráctica de “De hipótesis a lógica de detección”.
LC-K-N6-M01-02Crear una regla con campos reales, falsos positivos documentados, owner, versión y criterio de retiro.Diseñar una detección Sigma mantenibleDiagnóstico, demostración anotada y micropráctica de “Diseñar una detección Sigma mantenible”.
LC-K-N6-M01-03Comprender logsource, detection, condition y metadatos.Sigma: estructura y camposDiagnóstico, demostración anotada y micropráctica de “Sigma: estructura y campos”.
LC-K-N6-M01-04Validar que los campos existen y conservan significado.Calidad de datos y normalizaciónDiagnóstico, demostración anotada y micropráctica de “Calidad de datos y normalización”.
LC-K-N6-M01-05Medir frecuencia y contexto legítimo antes de activar.Baseline y reducción de ruidoDiagnóstico, demostración anotada y micropráctica de “Baseline y reducción de ruido”.
LC-K-N6-M01-06Validar positivos conocidos, negativos y cambios de parser.Pruebas y regresión de deteccionesDiagnóstico, demostración anotada y micropráctica de “Pruebas y regresión de detecciones”.
LC-K-N6-M01-07Mantener owner, documentación, cobertura y revisión.Ciclo de vida y métricas de una reglaDiagnóstico, demostración anotada y micropráctica de “Ciclo de vida y métricas de una regla”.
S
Habilidades
LC-S-N6-M01-01Producir hipótesis, fuente, selector, condición, contexto y salida con una fuente verificable.De hipótesis a lógica de detecciónLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M01-02Producir logsource, selector, condition, field mapping, test y version con una fuente verificable.Diseñar una detección Sigma mantenibleLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M01-03Producir producto, servicio, selector, condición, falsepositives y tags con una fuente verificable.Sigma: estructura y camposLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M01-04Producir schema, parser, field, null, timestamp y entity con una fuente verificable.Calidad de datos y normalizaciónLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M01-05Producir volumen, cardinalidad, allowlist, owner y vencimiento con una fuente verificable.Baseline y reducción de ruidoLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M01-06Producir fixture, expected, false positive, coverage y version con una fuente verificable.Pruebas y regresión de deteccionesLaboratorio individual, validación de evidencia e informe final.
LC-S-N6-M01-07Producir version, owner, hit rate, precision, gap y review con una fuente verificable.Ciclo de vida y métricas de una reglaLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
PD-WRL-006Threat AnalysisProtection and Defense
PD-WRL-003Incident ResponseProtection and Defense
Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.
DIAGNÓSTICO INICIAL · NO BLOQUEANTE
¿Estás listo para detection engineering?
Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.
Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.
N6 · CAPÍTULO 01
SEDES Y SERVICIOS
Asteria Logistics S.A.
⌁ Buenos Aires · sede central
⌁ Córdoba · centro operativo
⌁ Montevideo · oficina regional
ACTIVOS EN ALCANCE
LAP-FIN-042
Estación de cuentas por pagar
Lucía Ferrer
WS-RRHH-017
Estación de Recursos Humanos
Sofía Ríos
LAP-IT-008
Soporte y administración
Martín Vega
VPN-GW-01
Acceso remoto
Infraestructura
IDENTIDADES CONOCIDAS
Sofía Ríos · s.rios
Recursos Humanos
L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega
Soporte de TI
Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta
Infraestructura
Cuenta privilegiada separada · cambios con ticket
svc_backup
Servicio de respaldo
Ejecución diaria · 02:00 UTC
TELEMETRÍA DISPONIBLE
SIEMEDRIdPVPNCorreoFirewallTickets
Cambio más reciente
La revisión posterior al incidente identificó una brecha de telemetría en sesiones de nube.
LÍNEA BASE
✓ Hunts con hipótesis explícita
✓ Detecciones probadas con actividad legítima
✓ Métricas con población y período
LÍNEA TEMPORAL DE ASTERIA
La organización acumula cambios, excepciones e incidentes.
Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.
7 hitos
Activo
Inventario inicial
DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.
Infraestructura
Conectividad regional
Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.
Identidad
Active Directory
Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.
Control
Telemetría central
EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.
Operación
Apertura del SOC
Se define cola, prioridad, SLA, 5W y handoff entre turnos.
Incidente
Investigación multihost
Una identidad conecta endpoint, VPN y ERP; se formaliza preservación previa a contención.
Mejora
Programa de hunting
El post-incidente se convierte en hipótesis, detecciones y métricas de cobertura.
Contexto activo en este módulo
MAPA DE DEPENDENCIAS
Qué necesitás, qué construís y dónde vuelve a aparecer.
TRAZABILIDAD CURRICULAR
ANTES
Conocimientos requeridos
Procesos y archivos
Identidad y permisos
Timestamps y procedencia
→EN ESTE MÓDULO
Secuencia de construcción
01De hipótesis a lógica de detección
02Diseñar una detección Sigma mantenible
03Sigma: estructura y campos
04Calidad de datos y normalización
05Baseline y reducción de ruido
06Pruebas y regresión de detecciones
→DESPUÉS
Se reutiliza en
Threat hunting
Detection Engineering
DFIR y comunicación ejecutiva
RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3
La investigación forma parte de un sistema de gestión.
NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.
01Governprepara y reduce riesgo
02Identifyprepara y reduce riesgo
03Protectprepara y reduce riesgo
04Detectrespuesta al incidente
05Respondrespuesta al incidente
06Recoverrespuesta al incidente
SIMULACIÓN LABORAL ESPECÍFICA
SOC L3 y Detection Engineering
Partís de una hipótesis abierta y debés medir cobertura, ruido y valor operativo.
CONTEXTO DE TURNO
CONDICIONES REALES
○ Sin una única respuesta
○ Telemetría incompleta
○ Comunicación ejecutiva
LO QUE PRODUCIRÍA EL ANALISTA
✓ Hunt
✓ Detección
✓ Métricas y resumen ejecutivo
CRITERIO DE ÉXITO
Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.
HERRAMIENTAS DE OPERACIÓN · DESDE CERO
La consola cambia; el método permanece.
En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.
4 herramientas
Detection Engineering · portable
Sigma
Escribir reglas de detección portables y convertirlas a la sintaxis del SIEM.
Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.
CLASES DEL MÓDULO
Cada clase produce evidencia reutilizable.
Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final.
Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.
0/2 resueltos
CONTROL 1
Caso de transferencia
Una segunda sede presenta una señal parecida a “Diseñar una detección Sigma mantenible”, pero con entidades y horario diferentes.
Fuente ALogsource, selector, condition, field mapping, test y versionFuente BProducto, servicio, selector, condición, falsepositives y tags
CONTROL 2
Evidencia nueva cambia la prioridad
El ticket recibe un dato posterior relacionado con “Pruebas y regresión de detecciones”. La primera conclusión ya no explica todo el caso.
Fuente AFixture, expected, false positive, coverage y versionFuente BVersion, owner, hit rate, precision, gap y review
PANEL DE DOMINIO
Tu avance separado por capacidad.
Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.
5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 expedientes con autoridad
Inicial0%
InvestigaciónLaboratorios y pivotes0 laboratorios observados
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%
LABORATORIO FINAL INTEGRADOR
Detection Engineering · expediente integrador
Asteria necesita convertir incidentes previos en hipótesis, detecciones, métricas y mejoras sostenibles. La evidencia es ambigua y no existe una única respuesta; las decisiones deben defenderse técnica y ejecutivamente. En este expediente vas a reunir lo aprendido en las 7 clases sin recibir una conclusión predeterminada.
PRO
⌁
Un caso largo para unir todo el módulo.
Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.
