LecturaBienvenida al curso
Bienvenido a SIEM con Wazuh: fundamentos. En muchas entrevistas para analista L1 alguien pregunta "¿ha usado un SIEM?", y la respuesta honesta de quien solo vio capturas de pantalla es "no". Al terminar este curso habrá instalado Wazuh en sus máquinas virtuales, enrolado agentes, seguido una línea de auth.log hasta la alerta y escrito una regla propia.
Qué va a lograr
- Explicar qué es un SIEM, qué agrega un XDR y cómo se reparten el trabajo las piezas de Wazuh.
- Instalar Wazuh todo en uno en una VM y enrolar agentes Linux y Windows.
- Configurar la recolección de logs y seguir cómo un decoder y una regla convierten una línea en alerta.
- Detectar fuerza bruta SSH, cambios en archivos críticos y software vulnerable, e incorporar Sysmon en Windows.
- Escribir y probar reglas propias con
wazuh-logtest, y decidir cuándo la respuesta activa ayuda y cuándo estorba. - Buscar en el dashboard por campos y armar un panel y un reporte.
Para quién es y qué necesita
Para quien empieza en un SOC, administra servidores o quiere un laboratorio de detección en casa. Conviene haber hecho Introducción al SOC: su primer turno como analista y Linux básico: 15 comandos para empezar: aquí se da por sabido moverse en la terminal y usar sudo. Si nunca ha creado una máquina virtual, la píldora Su primera máquina virtual en 40 minutos lo deja listo.
Para practicar necesita:
- Una computadora con 16 GB de RAM (con 8 GB alcanza para el servidor y una VM Linux).
- VirtualBox, VMware Workstation Player u otro hipervisor.
- Una VM Ubuntu Server para el servidor, una VM Linux pequeña con agente y, de forma opcional, una VM Windows de evaluación.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. SIEM, XDR y la instalación de Wazuh | Qué es un SIEM, arquitectura de Wazuh, requisitos y preparación de la VM | Instalar Wazuh todo en uno y entrar al dashboard |
| 2. Agentes, logs, decoders y reglas | Agentes en Linux y Windows, bloque localfile, decoders, reglas y niveles | Enrolar un agente y seguir un log hasta la alerta |
| 3. Casos de uso de detección | Fuerza bruta SSH, integridad de archivos, vulnerabilidades y Sysmon | Cinco intentos fallidos y su alerta |
| 4. Reglas propias, respuesta y reportes | Reglas personalizadas, wazuh-logtest, respuesta activa, dashboards y la conclusión | Su regla, su panel y su reporte |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
Cada herramienta o bloque de configuración llega con una ficha: nombre, sintaxis, opciones que va a tocar y errores frecuentes. Casi todas las lecciones cierran con una pregunta corta para comprobar que puede seguir. Los cuatro laboratorios traen pasos numerados, una misión que usted verifica en el propio dashboard y la solución al final.
Tome una instantánea de sus VM antes de cada laboratorio. El error que más tiempo cuesta es un ossec.conf con una etiqueta mal cerrada que deja el servicio sin arrancar; con la instantánea vuelve atrás en un minuto. Escriba las reglas a mano: los errores de wazuh-logtest enseñan la sintaxis.
La evaluación final tiene 6 preguntas y se aprueba con 70 %. Al aprobarla recibe el certificado, la insignia del curso y la XP correspondiente.
Tiempo estimado
El curso completo toma unas 5 horas. La instalación del módulo 1 no conviene cortarla a la mitad: resérvele unos 45 minutos, porque el instalador descarga bastante y los servicios tardan en levantar.