¿Qué vas a experimentar en este laboratorio de ciberseguridad?
Simular
Reproduce actividades controladas en Windows.
Detectar
Identifica eventos y alertas con Sysmon y Wazuh.
Reconstruir
Relaciona evidencias para comprender que es lo que sucede.
Cinco prácticas para investigar actividad sospechosa en Windows
Cada ejercicio representa una etapa de la investigación: partiendo desde la identificación de los primeros eventos e indicios de que algo raro está pasando🤔hasta reconstruir una comunicación de red.
PT-01 Detectando ejecuciones con PowerShell
Observa como se registran nuevos procesos en Windows y cómo Wazuh recopila las alertas partiendo desde la actividad.
PT-02 Comprendiendo los límites de la detección
Descubre por qué las formas de ejecución dejan evidencias diferentes.
PT-03 Cuando una actividad no genera alertas
Comprueba por qué un evento de sysmon no necesariamente registra una alerta en Wazuh.
PT-04 Investigando más allá de las alertas
Explora que eventos son archivados y relaciónalo con los registros para comprender el ciclo de vida de un proceso.
PT-05 Reconstruyendo una conexión sospechosa
Simula una conexión TCP entre Windows y Kali Linux, correlaciona procesos, instrucciones y actividad de red.
Herramientas y requisitos del laboratorio
Esta experiencia se construirá con 3 máquinas virtuales dentro de una red aislada para simular actividad y analizar sus evidencias de forma segura.
| Herramienta | Función en el laboratorio |
| Windows 11 + Sysmon | Generación y registro de eventos del endpoint |
| Ubuntu + Wazuh | Centralización, detección e investigación |
| Kali Linux | Simulación de actividad de red |
¿Qué necesitas para comenzar?
- Conocimientos básicos de Windows, linux, redes y terminal.
- Al menos 16 GB de memoria RAM.
- VMware Workstation como virtualizador (puedes usar otro virtualizador pero para el ejercicio se usará el mencionado)
Nivel recomendado: Básico-intermedio
No es necesario tener experiencia profesional en un SOC.
Preguntas frecuentes
¿Es un curso de Sysmon o de Wazuh?
No. Es un laboratorio de ciberseguridad en que se utilizarán ambas herramientas con la finalidad de observar, detectar e investigar actividad en Windows.
¿Necesito conocimientos avanzados?
No. Se recomiendan conocimientos básicos de Windows, redes y uso de terminal. La guía sigue una secuencia progresiva.
¿Puedo realizarlo en mi propia computadora?
Sí. Necesitarás recursos suficientes para ejecutar las máquinas virtuales y un entorno de prueba aislado.