LecturaBienvenida al curso
Bienvenido a Análisis de tráfico y detección en red (Wireshark, Zeek y Suricata). En las próximas horas va a leer la red paquete a paquete, resumirla en metadatos y convertir ese conocimiento en detecciones concretas. Es el salto de "sé qué es un paquete" a "sé encontrar al atacante dentro del tráfico", el puente entre entender una red y trabajar como analista defensivo en un SOC, en respuesta a incidentes o en caza de amenazas.
Qué va a lograr
- Capturar tráfico en el punto correcto de la red (SPAN y TAP) y leerlo con Wireshark y tshark.
- Seguir un flujo completo, sacar estadísticas y extraer objetos de una captura.
- Convertir paquetes en metadatos con Zeek e investigar un incidente con sus registros.
- Escribir y leer reglas de Suricata e interpretar sus alertas en formato EVE JSON.
- Detectar escaneos, beaconing de mando y control, túnel DNS y exfiltración, y correlacionar alertas.
- Resolver un laboratorio final en el que identifica el patrón malicioso dentro de un conjunto de registros.
Para quién es y qué necesita
Este curso es para quien ya sabe de redes y quiere especializarse en análisis de tráfico defensivo: analistas de SOC júnior, administradores que vigilan su red y personas en respuesta a incidentes. Conviene haber hecho Redes para ciberseguridad, porque damos por sabidos TCP/IP, puertos, DNS, DHCP y los filtros básicos de Wireshark. Es muy recomendable haber visto también Ataques comunes en redes: cómo funcionan y cómo defenderse, para reconocer los ataques que aquí aprenderá a detectar.
Para practicar necesita:
- Una o dos máquinas virtuales Linux (VirtualBox, UTM o similar) en una red interna aislada.
- Wireshark con tshark, y acceso a instalar Zeek y Suricata en una de esas máquinas.
- Unos 40 minutos por sesión.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Capturar y leer tráfico | Puntos de captura, Wireshark y tshark, flujos, estadísticas y objetos | Investigar una captura y responder preguntas |
| 2. Zeek: de paquetes a registros | conn, dns, http, ssl y files como metadatos de detección | Investigar un incidente con los logs de Zeek |
| 3. Suricata: IDS/IPS y reglas | Firmas, anatomía de una regla y alertas en EVE JSON | Escribir una regla e interpretar su alerta |
| 4. Detección e investigación en red | Baselining, escaneo, C2, beaconing, túnel DNS y exfiltración | Identificar el patrón malicioso en un conjunto de registros |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
- Lecciones: cada herramienta trae su ficha (qué significa el nombre, sintaxis, opciones, variaciones y errores frecuentes). Escriba los comandos a mano, no los copie y pegue.
- Preguntas rápidas: al final de casi cada lección hay una pregunta de repaso para fijar la idea clave.
- Laboratorios: uno por módulo, siempre con una misión que usted mismo puede comprobar sobre sus propias capturas y registros.
- Evaluación final: 6 preguntas, se aprueba con 70 %. Al aprobarla recibe su certificado. Suma XP e insignias en el camino.
No se salte los laboratorios: el análisis de tráfico se aprende mirando tráfico, no leyendo sobre él.
Tiempo estimado
El curso completo toma unas cuatro horas y media. Le sugerimos avanzar una o dos lecciones por sesión y reservar un rato extra para cada laboratorio, porque generar el tráfico y luego analizarlo es donde de verdad aprende.