Ruta OSDA · prepara las competencias del Analista Defensivo
El OSDA (OffSec Defense Analyst) mide una sola cosa: si sabes detectar un ataque a lo largo de toda la kill chain — desde el acceso inicial hasta la exfiltración — usando un SIEM, logs, tráfico de red y forense, y luego redactar un informe que un responsable pueda leer. Esta ruta reordena nuestro track Blue Team completo como un itinerario guiado hacia esas competencias, en español y con práctica real.
Metodología del defensor
Pensar en MITRE ATT&CK y kill chain: mapear cada evidencia a una táctica y técnica del atacante. Toma de notas y cadena de custodia.
Análisis de logs
Leer auth.log, accesos de Apache y Event IDs de Windows para reconstruir una intrusión a mano, antes del SIEM.
SIEM y correlación
Centralizar y buscar en los logs: casos de uso, consultas y paneles para cazar lo anómalo — el corazón del trabajo del analista.
Detección en red
Analizar capturas (PCAP) en Wireshark: credenciales en claro, escaneo, exfiltración por DNS y el latido de un C2.
Forense de host y memoria
Peritar el endpoint: persistencia, cuentas ocultas, ficheros borrados y credenciales en un volcado de RAM (estilo mimikatz).
Redactar el informe
El entregable que decide el examen: explicar qué pasó, cómo lo detectaste y qué recomiendas, de forma que un responsable lo entienda.
Síguelo de arriba abajo. Primero el porqué (teoría defensiva), luego las tres fases de práctica sobre artefactos reales (logs → red → forense) y, para rematar, el simulacro con informe que Rio te evalúa. Es el mismo arco que te pide el OSDA.
| Competencia que evalúa el OSDA | Cómo la entrenas en la academia | Ir |
|---|---|---|
| Metodología & kill chain | Mentalidad del analista y mapeo a MITRE ATT&CK de cada evidencia. | Teoría → |
| Análisis de logs | Teoría de logs Linux/Windows + Caso SOC-1 (7 retos): reconstruir la intrusión a mano. | Teoría · Retos → |
| SIEM y correlación | Splunk/Wazuh/ELK: consultas, paneles, alertas y flujo SOC. | Teoría → |
| Detección en red (PCAP) | Teoría de red + Caso SOC-2 (5 retos): C2, exfiltración DNS, credenciales en claro. | Teoría · Retos → |
| Forense de host y memoria | Disco + RAM (Volatility) + Caso SOC-3 (6 retos): persistencia, cuentas ocultas, credenciales en RAM. | Teoría · Retos → |
| Threat hunting & IR | Caza proactiva por hipótesis y ciclo de respuesta NIST. | Hunting · IR → |
| Informe de detección | Simulacro final: investigas un incidente completo y redactas el informe. Rio te lo corrige como un analista sénior. | Rio evalúa → |
El mismo incidente, investigado como en un SOC: descargas el artefacto (logs, captura de red, triaje forense), lo analizas en tu Kali y cada hallazgo es una flag. 18 retos, 425 puntos. Hazlas en orden: cada fase sube el listón hacia el nivel del examen.
powershell -enc que descodificar en auth.log + apache_access.log + eventos de Windows.→
2Fase 2 · Análisis de red / PCAP (5 retos · 115 pts)Caso SOC-2: abre captura.pcap en Wireshark y caza credenciales (FTP, HTTP Basic), exfiltración por DNS y el latido de un C2.→
3Fase 3 · Forense de disco y memoria (6 retos · 150 pts)Caso SOC-3: perita el triaje del host (cuenta UID 0 oculta, persistencia por cron, ficheros borrados) y busca credenciales en un volcado de RAM.→
Busca en el tablero las categorías Blue 1 · Análisis de Logs, Blue 2 · Análisis de Red (PCAP), Blue 3 · Forense y, para rematar como en el examen, Blue · Simulacro Final (incidente completo + informe, 250 pts).
Rio, tu mentor, te guía toda la ruta
Rio mira tu progreso real y tus correcciones y te dice exactamente qué hacer ahora para avanzar hacia las competencias del OSDA. Y cuando termines el simulacro, Rio evalúa tu informe como un analista sénior: te dice qué falta, qué sobra y cómo redactarlo mejor — justo lo que decide el examen.
🧭 Que Rio me arme la ruta 📝 Rio evalúa mi informePon rumbo al perfil de analista defensivo:
🚀 Prueba 3 días gratis ▶ Empezar por la teoría 🛡 Ver el track Blue Team completo 🧪 Todos los laboratorios ✉️ Contacto