Ingeniería de Detección: fabrica la alerta
No te enseñamos a mirar alertas: te enseñamos a fabricarlas. Escribe la regla, demuestra con datos que caza el ataque y no salta con lo legítimo, y quítale el ruido sin dejarla ciega. De cero, con labs sobre incidentes reales del aula.
🔎De un comportamiento de ataque a una regla que lo caza
En este track aprendes a fabricar detecciones: escribir la regla, demostrar con datos que caza lo que dice cazar y quitarle el ruido. Es el oficio del detection engineer, uno de los perfiles que más se buscan en un equipo defensivo, y casi nadie lo enseña en español.
| Cada regla, con su prueba | ninguna regla se da por buena a ojo: se ejecuta contra casos con ataque y casos benignos en nuestro banco de pruebas. |
| Datos reales del aula | los ataques salen de los incidentes que ya conoces de Blue Team y de los casos de Respuesta a Incidentes. |
| Afinado con números | aprendes a bajar el ruido sin perder el ataque, que es lo difícil de verdad. |
| Documentado como en una empresa | cada regla con su ficha: qué ve, qué no ve y qué hacer cuando salta. |
Honestidad por delante: es un track nuevo. El temario completo (00-11), los labs DE-1 a DE-7 (más DE-4b) y el capstone ya están disponibles; los vídeos de resolución se irán añadiendo.
🗺️El temario, de 0 a 100
🎯Tu primer lab: DE-1 · Fuerza bruta que acaba en acceso
Escribes una regla que caza una fuerza bruta SSH que termina en acceso, la pasas por el banco de pruebas contra un caso con ataque y tres benignos, descubres que hace ruido y la afinas sin perder el ataque. Sin internet y sin instalar nada: solo python3.
| Qué te llevas | una regla validada con datos, su ficha documentada y la lección más importante del oficio: el arreglo “obvio” del ruido puede dejarte ciego. |
| Tiempo | 40-60 minutos. |
| Pack | de1-fuerza-bruta.tar.gz (banco + datos + plantillas + LEEME paso a paso). |
🎯Lab DE-2 · Office lanza un intérprete
Una “factura” con macro hace que Word lance PowerShell. Escribes en Sigma la regla que caza ese comportamiento, la pruebas contra una mañana de trabajo de siete equipos simulados y la conviertes a Splunk y a Elastic con sigma-cli. En el reto 2 amplías la regla a cualquier PowerShell codificado y aprendes a hacer una excepción que no le regale un hueco al atacante.
| Qué te llevas | tu primera regla Sigma validada con datos, convertida a dos SIEM, y el criterio para hacer excepciones por ruta, nunca por usuario ni por nombre. |
| Tiempo | 50-70 minutos. |
| Pack | de2-office-interprete.tar.gz (banco + telemetría Sysmon + plantillas + LEEME paso a paso). |
🎯Lab DE-3 · El latido del C2 y la exfiltración por DNS
Generas el eve.json con Suricata a partir de la captura real de Blue 2 y escribes dos reglas de comportamiento: una que caza el latido de un C2 aunque lleve aleatoriedad, y otra que caza datos escondidos en consultas DNS. Las afinas contra una oficina cuyo NTP, cuyo agente de monitorización y cuyo antivirus también parecen un ataque.
| Qué te llevas | medir antes de poner un umbral, por qué la entropía sola engaña y cómo excluir infraestructura legítima con criterio. |
| Tiempo | 50-70 minutos. |
| Pack | de3-latido-dns.tar.gz (banco + captura + eve.json + plantillas + LEEME paso a paso). |
🎯Lab DE-6 · Caza la familia
El SOC ha recuperado las notas de rescate y el lanzador de una familia de ransomware (ficticia: “Candado”). Escribes las reglas YARA que los cazan... sin saltar con un gestor de contraseñas que se llama igual, con un artículo sobre ransomware ni con el propio informe del SOC, que cita los indicadores. Hay una muestra en Unicode esperándote.
| Qué te llevas | reglas YARA de familia, ascii wide, expresiones regulares, condiciones combinadas y la diferencia entre usar un indicador y mencionarlo. |
| Tiempo | 40-60 minutos. |
| Pack | de6-caza-la-familia.tar.gz (banco + muestras inofensivas + plantilla + LEEME paso a paso). |
🎯Lab DE-7 · Cuenta nueva que se hace administradora
Crear una cuenta es normal. Meter a alguien en un grupo también. Crear una cuenta y a los pocos minutos meterla en un grupo de administradores es lo que hace un atacante para dejarse una puerta. Escribes la regla que correlaciona los dos eventos, sobre el registro de Blue 1 y el de un controlador de dominio atacado, y la afinas contra altas legítimas de RR. HH. y un técnico nuevo.
| Qué te llevas | una regla de correlación de dos eventos, los eventos de grupos de Windows (4728/4732/4756) y la ventana de tiempo como decisión de negocio. |
| Tiempo | 30-45 minutos. |
| Pack | de7-cuenta-admin.tar.gz (banco + registros de Windows + plantilla + LEEME paso a paso). |
🎯Lab DE-5 · Afina o muere
Una regla “de serie” salta más de 400 veces por semana y nadie la mira. Escondido en ese ruido hay un incidente real. Tu misión: quitar al menos el 90 % de las alertas falsas sin perder el ataque, con excepciones que un atacante no pueda aprovechar. El banco mide las dos cosas.
| Qué te llevas | afinar con números: medir, atacar las causas grandes, excepciones estrechas y documentadas, y por qué apagar la regla no es afinarla. |
| Tiempo | 45-60 minutos. |
| Pack | de5-afina-o-muere.tar.gz (banco + una semana de telemetría de una oficina + LEEME paso a paso). |
🎯Lab DE-4 · De caso de incidente a regla (IR-03)
En el caso IR-03 de Respuesta a Incidentes encontraste a mano un acceso a la VPN que se saltaba el MFA (caso fechado, nov-2026). Aquí escribes la regla que lo habría avisado sola... y que sigue avisando cuando el siguiente atacante usa otra cuenta y otra IP. Sin saltar con los barridos de internet ni con la cuenta de emergencia de IT.
| Qué te llevas | cerrar el ciclo de un incidente convirtiéndolo en detección, y listas blancas frente a listas negras en una regla. |
| Tiempo | 30-45 minutos. |
| Pack | de4-caso-a-regla.tar.gz (banco + registros de la VPN + plantilla + LEEME paso a paso). |
🎯Lab DE-4b · De caso de incidente a regla (IR-01)
El caso IR-01 (PHP2Shell, fechado nov-2026) no se ve en la IP ni en la URL: se ve en un campo de más dentro del cuerpo de una subida multipart. Escribes la regla de Suricata que lo caza en capturas de red, aunque el atacante cambie de IP, de navegador y de ruta, y sin saltar con subidas legítimas ni con campos que se le parecen.
| Qué te llevas | reglas de Suricata que miran dentro del cuerpo de la petición (http.request_body), bytes exactos con |22| y un falso positivo conocido bien documentado. |
| Tiempo | 30-45 minutos. |
| Pack | de4b-caso-ir01.tar.gz (banco + capturas simuladas + plantilla + LEEME paso a paso). |
🏆Capstone · Operación Moncayo
Una pyme ficticia sufre un incidente completo en una noche: acceso por la VPN sin MFA, PowerShell oculto, una cuenta nueva de administrador, un C2 que late y la carpeta de clientes copiada a la nube. Escribes un programa de detección: cinco reglas, una por etapa y en cuatro fuentes distintas, sin plantillas, probadas contra días normales. Más fichas, mapa de cobertura e informe para dirección.
| Evaluación | las reglas, automáticamente (evaluar_capstone.py da la flag si las cinco son perfectas); el informe, las fichas y la cobertura, Rio Examinador. |
| Tiempo | de 3 a 5 horas, en varias sesiones si quieres. |
| Pack | capstone-operacion-moncayo.tar.gz (datos de las cinco etapas + banco + evaluador + plantillas). |
🏅Certificado del itinerario
Cuando completes los 12 retos del track (los labs DE-1 a DE-7, DE-1c, DE-2b, DE-3b, DE-4b y el capstone), tu certificado de Ingeniería de Detección se emite solo en Mis certificados, con un código que cualquier empresa puede comprobar en /verificar.
| Qué acredita | que has escrito, validado con datos y afinado reglas de detección en Sigma, Suricata y YARA, y un programa de detección completo. |
| Qué no es | formación no reglada: un certificado privado de aprovechamiento, no un título oficial ni una certificación acreditada. |