Seguridad, de los primeros conceptos a las herramientas reales. Cada ejercicio se hace en un laboratorio tuyo, y cada afirmación enlaza a su fuente.
Qué protege la seguridad, las palabras que usa el área y cómo encajan ataque y defensa.
4 artículos
IP, DNS, HTTP y TLS: cómo viaja una solicitud y dónde se puede leer o alterar.
4 artículos
Del cifrado César a hashes, claves y firmas, con código que puedes ejecutar.
6 artículos
La terminal, Git, GitHub, Docker y Python: las herramientas con las que empieza todo laboratorio.
5 artículos
Encontrar lo que es público sobre un objetivo que tienes permiso para mirar, y comprobarlo.
3 artículos
Entornos de práctica legales que montas y rompes en tu propia máquina.
4 artículos
Inyección, control de acceso, autenticación y el resto de la lista de OWASP, probados a mano.
4 artículos
Cómo instalar y usar las herramientas de código abierto del oficio, desde sus fuentes oficiales.
2 artículos
Leer binarios que compilaste tú mismo, del hexadecimal a Ghidra.
2 artículos
Cómo los analistas estudian código malicioso y qué recuerda un sistema tras un incidente.
2 artículos
Logs, alertas, reglas Sigma y la investigación que convierte un evento en un hallazgo.
3 artículos
CVE, CVSS, EPSS y KEV: leer un aviso y decidir qué corregir primero.
3 artículos
Agentes que ejecutan herramientas de seguridad, cómo configurarlos y cómo revisar su trabajo.
2 artículos
Llamar a un modelo desde el código: claves, solicitudes, streaming, herramientas y costo.
2 artículos
Cómo rechazan los modelos, qué cambia la abliteration y las reglas para usarlos.
2 artículos
Alcance, informes, certificaciones y los hábitos de quienes viven de esto.
2 artículos
Fundamentos de seguridad
La tríada CIA explicada: confidencialidad, integridad y disponibilidad, con ejemplos, comprobaciones de hash y firma, y diez incidentes.
Fundamentos de seguridad
Separa vulnerabilidad, amenaza, riesgo y exploit, mira cómo CWE y CVE nombran las fallas y entiende por qué las fallas inalcanzables pueden importar.
Fundamentos de seguridad
Aprende diagramas de flujo de datos, límites de confianza y las seis categorías STRIDE, y modela un Juice Shop local en Threat Dragon.
Redes y web
Un puerto es una entrada numerada en tu máquina. Entiende cómo TCP y UDP usan puertos y prueba un servidor local en 127.0.0.1.
Redes y web
Lee un intercambio HTTP real línea por línea: métodos, URL, encabezados, clases de estado y cookies, probados con curl en un servidor local.
Redes y web
TLS 1.3 aporta a HTTPS confidencialidad, integridad y autenticación del servidor. Explica el handshake, los certificados y lo que el candado no prueba.
Criptografía
Separa codificación, cifrado y hash con laboratorios de Base64, SHA-256 y OpenSSL. Entiende por qué Base64 no protege y el hash es de un solo sentido.
Criptografía
Por qué los hashes rápidos fallan con contraseñas, qué hacen la sal y el factor de trabajo, y cómo hashear y verificar con Argon2id en Python.
Criptografía
Claves pública y privada desde cero: qué prueba una firma, por qué la privada no sale de su dueño y un lab Ed25519 donde un archivo alterado falla.
Linux y herramientas de desarrollo
Aprende pipes, redirección, variables, bucles, códigos de salida y set -euo pipefail, y úsalos para contar logins fallidos y hashear una carpeta.
Linux y herramientas de desarrollo
Propietarios, grupos, bits rwx, chmod, umask y setuid en Linux, con un laboratorio que prueba el acceso de otro usuario y busca modos riesgosos.
Linux y herramientas de desarrollo
Cómo funcionan las claves SSH de host y de usuario, por qué Ed25519 con frase de paso es el estándar y cómo proteger el acceso en una VM de laboratorio.
OSINT y reconocimiento
Aprende finalidad, proporcionalidad, consentimiento y minimización de datos en OSINT, con nociones de LGPD y GDPR y una plantilla de plan de investigación.
OSINT y reconocimiento
Entiende cómo los logs de Certificate Transparency registran certificados TLS públicos y revisa crt.sh de un dominio tuyo, sin tocar sus hosts.
Laboratorios de hacking
Crea una red Docker sin acceso a internet, ejecuta OWASP Juice Shop en ella y publica una copia para el navegador solo en 127.0.0.1.
Laboratorios de hacking
Estructure un informe de pentest y escriba un hallazgo que otra persona pueda reproducir, con evidencia, impacto, vector CVSS v4.0 y remediación.
Seguridad web y de APIs
Qué es el OWASP Top 10, qué significa cada categoría de 2025, cómo defenderse y cómo mapear retos de Juice Shop.
Seguridad web y de APIs
Cómo la SQL Injection cambia el sentido de una consulta, por qué las consultas parametrizadas la corrigen y un laboratorio con Juice Shop y sqlite3.
Seguridad web y de APIs
Entiende el XSS reflejado, almacenado y basado en DOM, por qué la codificación depende del contexto y cómo la CSP suma defensa en profundidad.
Seguridad web y de APIs
CSRF usa las cookies de tu propio navegador en tu contra. Revisa las defensas de la más fuerte a la más débil y prueba SameSite con un laboratorio Flask.
Herramientas de seguridad
Nmap lista los puertos abiertos de tu propia máquina. Revisa escaneos connect y SYN, detección de servicios y cómo ligar cada puerto a su proceso.
Herramientas de seguridad
Ejecuta el escaneo pasivo de ZAP contra Juice Shop en tu máquina, lee el informe y verifica una alerta a mano antes de confiar en ella.
Ingeniería inversa
Entiende qué descarta la compilación, en qué se diferencian desensambladores y descompiladores y los límites legales antes de analizar un binario.
Ingeniería inversa
Compila una verificación de licencia de juguete en C de dos formas y usa Ghidra para hallar la cadena, seguir referencias y comparar con tu código.
Malware y forense
Cómo los hashes identifican archivos, por qué SHA-256 reemplazó a MD5, cómo NSRL filtra software conocido y por qué subirlo a VirusTotal lo comparte.
Malware y forense
Escribe tu primera regla YARA que coincida con un archivo inofensivo y no con otro, y aprende por qué toda regla necesita pruebas positivas y negativas.
Detección y blue team
Un SIEM recopila logs, normaliza campos, ejecuta reglas de correlación y genera alertas para triaje. Aprende el recorrido con un ejemplo ejecutable.
Detección y blue team
Lee el registro Security de Windows: auditoría, eventos 4624, 4625, 4634, 4672, 4688 y 1102, qué agrega Sysmon y un inicio de sesión fallido tuyo.
Detección y blue team
Escribe una regla Sigma para fallos de inicio de sesión en Windows, valida, convierte a Splunk y prueba con eventos buenos y malos.
Inteligencia de vulnerabilidades
Un registro CVE nombra la falla y apunta al proveedor, que es quien define la versión corregida.
Inteligencia de vulnerabilidades
Qué significa una puntuación CVSS como 9.8, cómo se construyen las vector strings de v4.0 y v3.1 y cómo decodificar y recalcular una a mano.
Inteligencia de vulnerabilidades
Ordena CVE con el catálogo KEV de CISA y las puntuaciones EPSS de FIRST, junto a CVSS, y arma una tabla de prioridades.
Agentes de IA para seguridad
Cómo funciona el uso de herramientas: el modelo devuelve una llamada estructurada, tu programa la ejecuta y la aprobación decide qué se permite.
Agentes de IA para seguridad
MCP es el protocolo abierto que conecta apps de IA con herramientas y datos. Revisa roles, primitivas, transportes y seguridad en un laboratorio aislado.
Modelos de LLM y APIs
Cómo los modelos de lenguaje grandes convierten texto en tokens, predicen el siguiente y por qué suenan seguros cuando se equivocan.
Modelos de LLM y APIs
Cómo es una solicitud a una API de chat: modelo, mensajes, tokens, streaming, claves de API, límites y errores HTTP, con ejemplos anotados.
Seguridad y gobernanza de IA
La inyección de prompt hace que un texto de entrada a un LLM actúe como instrucción. Ataques directos e indirectos y defensas en capas.
Seguridad y gobernanza de IA
Cuatro riesgos de los asistentes de IA en seguridad, un método para controlarlos y un laboratorio que contrasta un resumen de CVE con NVD y KEV.
Carrera y metodología
Compara ocho roles comunes de ciberseguridad por su trabajo diario, habilidades clave y un primer paso práctico gratuito.
Carrera y metodología
Lee la política de un programa de bug bounty sobre alcance, safe harbour y divulgación, y escribe una lista de verificación antes de probar.
Fundamentos de seguridad
Qué cubre la ciberseguridad, la tríada CIA, formas comunes de falla y un primer ejercicio seguro con hashes en tu propia máquina.
Criptografía
Criptografía desde cero: cifrado, claves, hashes, firmas digitales y por qué el cifrado César enseña ideas pero no protege nada.
Criptografía
El cifrado César desplaza cada letra un número fijo de posiciones. Cifra HELLO como KHOOR a mano, descífralo y mira por qué falla.
Criptografía
Crea un cifrado César en Python, pruébalo con unittest y comprueba por qué no ofrece confidencialidad real.
Linux y herramientas de desarrollo
GitHub para principiantes: qué hacen Git y GitHub, los términos básicos, una práctica local con Git y cómo revisar un proyecto antes de ejecutarlo.
Linux y herramientas de desarrollo
Crea una cuenta y un primer repositorio en GitHub desde el navegador, añade un README y un segundo commit, y mantén los secretos fuera.
Redes y web
Cómo DNS convierte nombres en direcciones: resolvers, servidores autoritativos, caché por TTL, registros A, AAAA, CNAME, MX y TXT, con prueba segura.
OSINT y reconocimiento
Qué es OSINT, cómo verificar información pública, dónde están los límites éticos y cómo escribir un informe corto con evidencias.
Laboratorios de hacking
Monta un laboratorio que puedes atacar: archivo de alcance, puertos de Docker en loopback, red aislada, cuaderno de notas y desmontaje limpio.
Laboratorios de hacking
Ejecuta OWASP Juice Shop en un contenedor Docker limitado a tu equipo, comprueba que responde y detenlo sin dejar nada en ejecución.
Crea la cuenta, añade créditos desde US$ 10 y haz la primera pregunta en el chat o en la terminal.
Individual o empresa. Puedes pasar a empresa después sin perder saldo ni claves.
Con tarjeta, desde US$ 10. Pagas por token, sin suscripción.
En el chat, o instala el CLI y ejecuta notholy login en tu terminal.
