Blue Team · defender es la otra mitad del juego
Casi todos aprenden a atacar. Aquí aprendes a ver el ataque, entenderlo y pararlo: leer logs, vigilar en tiempo real, afinar reglas de firewall y responder a un incidente con la cabeza fría. Como en un SOC de verdad.
Logs & artefactos
Qué carpetas y ficheros mirar en Linux y Windows, y qué cuenta cada evento. /var/log, Visor de Eventos, journald.
Detección en vivo
Ver el ataque mientras ocurre: tráfico, procesos, conexiones salientes y alertas en tiempo real.
Firewall & reglas
Cómo funcionan de verdad las reglas (iptables/nftables, Windows Firewall): bloquear, permitir, registrar.
Wireshark
Analizar capturas con ejemplos: seguir flujos, filtros útiles, detectar exfiltración y C2.
SIEM & Splunk
Centralizar y buscar en los logs, crear búsquedas y paneles para cazar lo anómalo.
Respuesta a incidentes
El método: detectar, contener, erradicar, recuperar y documentar. Pensar como defensor.
La teoría defensiva estructurada, al mismo nivel que el camino ofensivo: metodología, logs, SIEM, forense de red/disco/memoria, threat hunting y respuesta a incidentes. Cada módulo explica el qué, el porqué, el cómo y los errores típicos.
El ecosistema REAL que se usa en un SOC: cada módulo con teoría, quién-es-quién (open-source vs comercial), lab práctico, fallos típicos + solución y trucos. De “sé la teoría” a “sé montarlo y usarlo en una empresa”.
El mismo incidente, investigado como en un SOC: descargas el artefacto (logs, captura de red, triaje forense), lo analizas en tu Kali y cada hallazgo es una flag. 18 retos, 425 puntos. Hazlas en orden: cada fase sube el listón.
auth.log + apache_access.log + eventos de Windows. IP atacante, cuenta caída, webshell y un powershell -enc que descodificar.→
2Fase 2 · Análisis de red / PCAP (5 retos · 115 pts)Caso SOC-2: abre captura.pcap en Wireshark y caza credenciales en claro (FTP, HTTP Basic), exfiltración por DNS y el latido de un C2.→
3Fase 3 · Forense de disco y memoria (6 retos · 150 pts)Caso SOC-3: perita el triaje del host (cuenta UID 0 oculta, persistencia por cron, ficheros borrados recuperados) y busca credenciales en un volcado de RAM (estilo mimikatz).→
Busca en el tablero las categorías Blue 1 · Análisis de Logs, Blue 2 · Análisis de Red (PCAP), Blue 3 · Forense y, para rematar, Blue · Simulacro Final (incidente completo en modo examen, 250 pts).
🎓 Ver el camino de certificación Blue (BTL1 / CDSA)
Empieza a defender ahora mismo:
▶ Empezar la ruta guiada 🔎 Caso SOC-1: investiga una intrusión 🛡 Caza EN VIVO: host comprometido (SSH) 🧪 Todos los laboratorios 🛡 Panel SOC en vivo 💾 Lab Blue Team descargable 🎓 Camino de certificaciónSeis lecciones paso a paso en el navegador, con comandos reales que escribes tú, quizzes y corrección al instante. Empieza por la primera y sigue el orden.