LecturaBienvenida al curso
Bienvenido a Pentesting ético desde cero: metodología y primeros pasos. Lo primero que va a aprender no es una herramienta, sino una frase: el pentesting es, por definición, una actividad autorizada. Un atacante y un pentester pueden escribir el mismo comando; lo que separa a uno del otro es un papel firmado. Aquí entenderá la metodología, el reconocimiento, la enumeración y el informe, siempre sobre sistemas propios o plataformas legales de entrenamiento.
Qué va a lograr
- Explicar qué es el pentesting ético, sus tipos y en qué se diferencia del trabajo de un atacante.
- Fijar el alcance y las reglas de enfrentamiento de una prueba, y reconocer cuándo no se debe empezar.
- Ubicar el marco legal costarricense que regula el acceso a sistemas informáticos.
- Seguir la metodología por fases y hacer reconocimiento pasivo y activo en su laboratorio.
- Enumerar servicios, interpretar un escaneo de vulnerabilidades y convertir un hallazgo en riesgo.
- Redactar un hallazgo con evidencia y remediación, que es el entregable que de verdad importa.
Para quién es y qué necesita
Este curso es para quien quiere entrar al pentesting ético por la puerta correcta: entendiendo primero la ética, el permiso y el método antes que cualquier exploit. Conviene haber hecho Redes para ciberseguridad y Linux básico: 15 comandos para empezar, porque usará direcciones IP, puertos y la terminal. La píldora Carta de autorización y reglas de enfrentamiento es un complemento ideal que puede llevar en paralelo.
Para practicar necesita:
- Una máquina virtual con Kali Linux o con Ubuntu, en una red aislada (solo anfitrión), separada de su red doméstica y del trabajo.
- Una cuenta gratuita en al menos una plataforma legal de entrenamiento: TryHackMe, Hack The Box, PortSwigger Web Security Academy o picoCTF.
- Unos 30 a 40 minutos por sesión.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Qué es el pentesting ético | Tipos de prueba, ética, autorización, alcance, ROE y marco legal de Costa Rica | Definir el alcance y la autorización de una prueba |
| 2. Metodología y reconocimiento | Fases de un pentest y reconocimiento pasivo y activo | Reconocer una máquina de práctica propia o legal |
| 3. Enumeración y análisis de vulnerabilidades | Enumerar servicios y versiones, de hallazgo a riesgo | Enumerar y priorizar hallazgos |
| 4. De la explotación al informe | Qué es explotar, evidencia y el informe final | Redactar un hallazgo con evidencia y remediación |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
Las lecciones de texto explican el concepto y el porqué. Al final de casi todas hay una pregunta rápida que no da puntos: solo le dice si puede seguir o si conviene releer. Los cuatro laboratorios son la parte que más pesa; cada uno termina con una misión que usted mismo puede comprobar, y varios incluyen la solución al final. Al aprobar la evaluación final, con un 70 por ciento, recibe el certificado del curso y la insignia.
Un consejo: no corra a abrir herramientas. Quien primero define bien el alcance y documenta lo que hace llega más lejos que quien lanza escaneos sin pensar.
Tiempo estimado
El curso completo toma unas cuatro horas. Le sugerimos una o dos lecciones por sesión y cada laboratorio de una sola vez.