Bienvenida al curso

A las 03:11 de la mañana, en la cuenta de Tienda Volcán S.A. (la empresa ficticia del curso) aparecen tres eventos en menos de un minuto: una llave de acceso nueva, el bloqueo de acceso público desactivado y un lanzamiento de instancias. Nadie estaba trabajando. En el curso anterior aprendió a configurar bien la cuenta; aquí aprenderá a notar que algo así pasa y a cortarlo a tiempo.

Bienvenido a Seguridad en la nube: detección y respuesta. Dejará de pensar solo en cómo evitar errores y empezará a pensar como el analista que vigila la cuenta: qué registra la nube, cómo se ve un ataque en esos registros y qué hacer en los primeros minutos.

Qué va a lograr

• Entender qué registran CloudTrail, el Activity Log, los sign-in logs de Entra y los Cloud Audit Logs, y centralizarlos para investigar.
• Detectar actividad maliciosa con los servicios nativos (GuardDuty, Defender for Cloud, Security Command Center), CSPM y benchmarks CIS.
• Escribir una detección sencilla a partir de una condición de riesgo.
• Reconstruir el abuso de identidades, las llaves filtradas y los cambios peligrosos de configuración a partir de los eventos.
• Responder a un incidente: contener, aislar, rotar credenciales, preservar evidencia y seguir un playbook.

Para quién es y qué necesita

Es para quien ya sabe mirar una cuenta en la nube y quiere pasar a defenderla. Conviene haber hecho Seguridad en la nube: fundamentos y Gestión de identidades y accesos (IAM): aquí damos por sabido qué es un bucket, una política de permisos, un rol y el mínimo privilegio.

Los laboratorios se resuelven con navegador y editor de texto, leyendo registros de ejemplo que trae la lección. No necesita credenciales ni datos reales.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Visibilidad	Qué registra cada nube y cómo centralizar los logs	Encontrar una acción sospechosa en un registro
2. Detección	Servicios nativos, CSPM, CIS y cómo escribir detecciones	Definir una detección para una condición dada
3. Identidad y configuración bajo ataque	Abuso de IAM, llaves filtradas, drift y escalada	Reconstruir qué hizo un atacante con los eventos
4. Respuesta a incidentes	Contener, aislar, rotar, preservar evidencia, playbooks	Escribir los pasos de contención de un incidente
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 por ciento

Cómo aprovecharlo

Cada tema se explica con AWS, Azure y GCP lado a lado, sin casarse con ninguno: quédese con la idea (qué registra, qué detecta, cómo se responde) y use las tablas de equivalencias cuando las necesite. Los nombres cambian; el patrón de ataque y la lógica de la respuesta, no.

En los laboratorios lea los registros línea por línea. El dato que delata un incidente casi nunca está en el párrafo largo, sino en una IP de otro país, una llave recién creada o una hora imposible. Escriba su análisis antes de ver la solución.

Al aprobar la evaluación final recibe el certificado y la insignia.

Tiempo estimado

El curso completo toma unas 4 horas y cuarto, con cerca de hora y media en laboratorios. Le sugerimos una lección por día.