Catálogo

Aprenda a construir detecciones como un producto y no como consultas sueltas. Entienda qué es la ingeniería de detecciones, el ciclo de vida de una regla, la detección como código y las métricas de calidad y ruido. Conozca la telemetría que alimenta las reglas (Sysmon, registro de seguridad de Windows, auditd, DNS y proxy), normalice campos y mida su cobertura con MITRE ATT&CK. Escriba reglas Sigma con logsource, detection y condition, conviértalas con sigma-cli a consultas de SIEM y pruébelas contra logs ficticios. Cierre probando en una VM propia, ajustando falsos positivos con filtros acotados y manteniendo un repositorio Git con revisión y una ficha por regla. Prerrequisito sugerido: SIEM con Wazuh: fundamentos.

Principiante

5 módulos · 19 lecciones

4 h 54 min

Gratis

Primer curso de la serie OWASP Top 10, enfocado en desarrollo seguro y defensa. Entienda la diferencia entre autenticación y autorización, por qué el control de acceso roto es la categoría número uno y cómo se manifiesta en IDOR, escalada horizontal y vertical, rutas y métodos sin control y CORS mal configurado. Escriba una pequeña aplicación Flask en su propia computadora, revísela con una matriz de autorización, corríjala con denegación por defecto y autorización centralizada, demuestre la corrección con pruebas automáticas en pytest y aprenda a detectar enumeraciones en los registros y a redactar un reporte de hallazgo. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 20 lecciones

5 h 12 min

Gratis

Segundo curso de la serie OWASP Top 10, con enfoque de desarrollo seguro y defensa. Entienda por qué fallan la protección de datos en tránsito y en reposo, TLS y HSTS, los algoritmos obsoletos, el almacenamiento de contraseñas, la gestión de llaves y secretos y la aleatoriedad, con casos públicos, CWEs principales, clasificación de datos y la Ley 8968 de Costa Rica. Revise código Python/Flask vulnerable, corríjalo con Argon2id, Fernet y el módulo secrets, escriba pruebas automáticas que demuestren la corrección, apóyese en OWASP ASVS y las Cheat Sheets, y aprenda a detectar estas fallas en registros, proxies y WAF y a reportarlas. Todos los laboratorios se hacen en una aplicación propia en localhost. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 38 min

Gratis

Entienda desde la raíz por qué ocurre la inyección: mezclar datos con instrucciones que ejecuta otro intérprete. Reconozca la inyección SQL, la de comandos del sistema y el cross-site scripting en código Python y Flask, compare cada patrón vulnerable con su versión corregida y aprenda a revisarlos con el método de los sumideros, Bandit y Semgrep. Corrija una tienda que usted mismo escribe y ejecuta en localhost con consultas parametrizadas, llamadas sin shell, codificación de salida y CSP, y demuestre la corrección con pruebas automáticas en pytest. Cierra detectando intentos en registros y WAF y redactando un reporte de hallazgo con CWE y OWASP ASVS. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 20 lecciones

5 h 7 min

Gratis

Aprenda a prevenir las fallas que nacen antes del código. Distinga diseño de implementación, conozca los escenarios y CWE de A04:2021, modele amenazas con STRIDE sobre una billetera de pagos ficticia, escriba casos de abuso y defina límites de negocio: frecuencia, intentos, montos, máquinas de estados e idempotencia. Aplique patrones de diseño seguro, convierta todo en requisitos verificables con OWASP ASVS y demuéstrelo corrigiendo una pequeña app Flask propia en localhost con pruebas automáticas. Cierra con registro de eventos de negocio, alertas, alcances de un WAF y la redacción de un hallazgo. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 20 lecciones

5 h 3 min

Gratis

Estudie a fondo la categoría A05 del OWASP Top 10 2021 con enfoque de desarrollo seguro y defensa. Entienda por qué los valores por defecto, el modo debug en producción, los mensajes de error detallados, la falta de cabeceras de seguridad, los permisos abiertos en el almacenamiento en la nube y los analizadores XML que aceptan entidades externas (XXE) dejan expuestas aplicaciones bien programadas. Compare código Flask vulnerable con su versión corregida, revise configuraciones como en una solicitud de cambio, construya un endurecimiento repetible con configuración como código y revisiones automáticas, demuestre cada corrección con pruebas en pytest y aprenda a detectar intentos en registros y WAF y a redactar un reporte de hallazgo. Todos los laboratorios se hacen en una aplicación propia en localhost. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 35 min

Gratis

Aprenda a gestionar el riesgo del código que su aplicación hereda de terceros. Entienda las dependencias directas y transitivas, qué es un CVE y cómo leer un aviso; genere un SBOM en CycloneDX y audite su proyecto con pip-audit, npm audit y OWASP Dependency-Check; aplique versiones fijadas, lockfiles y Dependabot, y defina una política de actualización basada en OWASP ASVS que contemple componentes abandonados y de fin de vida. Cierra priorizando hallazgos con CVSS, EPSS y el catálogo KEV, detectando intentos de explotación en logs y WAF, y redactando un reporte de hallazgo. Los laboratorios se hacen en una aplicación Flask propia en localhost. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 40 min

Gratis

Aprenda a construir, revisar y vigilar un inicio de sesión que resista los ataques reales. Entienda por qué fallan la autenticación y las sesiones, con los CWE principales y casos públicos; aplique las recomendaciones de NIST SP 800-63B sobre contraseñas, guárdelas con Argon2id, configure cookies y sesiones seguras, evite mensajes que revelan usuarios, implemente MFA y passkeys, límites con bloqueo progresivo contra el relleno de credenciales y una recuperación de cuenta segura. En los laboratorios escribe su propia aplicación Flask en localhost, la revisa con OWASP ASVS, la corrige con pruebas automáticas y detecta un ataque en sus registros. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 19 lecciones

4 h 47 min

Gratis

Aprenda a proteger la integridad de su software y de sus datos desde el desarrollo. Entienda los ataques a la cadena de suministro con casos públicos como SolarWinds, Codecov y xz utils; la deserialización insegura explicada de forma conceptual; y los riesgos de los pipelines de CI/CD con permisos excesivos, secretos expuestos y acciones sin fijar. Revise código y workflows vulnerables, corríjalos con hashes, firmas, actualizaciones firmadas, OIDC, SLSA y Sigstore, escriba pruebas automáticas que demuestren cada corrección y detecte la manipulación en logs y WAF. Los laboratorios se hacen en una aplicación Flask que usted escribe y corre en localhost. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 41 min

Gratis

Aprenda a que su aplicación deje rastro útil cuando la atacan. Verá qué eventos registrar (autenticación, autorización, errores y acciones administrativas), qué datos nunca deben llegar a un registro, cómo evitar la inyección en registros, el formato estructurado en JSON, la centralización, la retención y la integridad de la evidencia. Revisará código Flask vulnerable, lo corregirá con un módulo de registro reutilizable y escribirá pruebas automáticas con pytest que demuestren la corrección. Cierra con alertas útiles, la conexión de la aplicación a un SIEM como Wazuh, la respuesta a incidentes y el reporte de hallazgos A09. Todo en su propia computadora. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 33 min

Gratis

Entienda la categoría A10:2021 del OWASP Top 10 desde el desarrollo seguro y la defensa. Aprenda qué es SSRF, por qué es tan grave en la nube y cómo proteger el servicio de metadatos con IMDSv2, reconozca el patrón fuente y sumidero en Python y Node, revise código con un procedimiento repetible, y prevenga la falla con listas de permitidos, validación de URLs, resolución DNS, segmentación de red y proxy de egreso. Construirá una pequeña aplicación propia en localhost, la corregirá con pruebas automáticas y aprenderá a detectar intentos en registros, escribir alertas y redactar un reporte de hallazgo. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 37 min

Gratis

Aprenda a usar MITRE ATT&CK como lo hace un equipo azul. Conozca las matrices Enterprise, Mobile e ICS, la diferencia entre tácticas, técnicas, sub-técnicas y procedimientos, y cómo se conectan grupos, software, mitigaciones y telemetría. Mapee informes de amenazas a técnicas y construya capas en ATT&CK Navigator. Mida la cobertura de sus detecciones, priorice según los actores que apuntan a su región y sector, y combine mitigaciones, D3FEND y reglas Sigma. Cierre con planes de emulación, pruebas seguras con Atomic Red Team en una VM propia, purple teaming y un resumen ejecutivo para dirección. Prerrequisito sugerido: Introducción al SOC: su primer turno como analista.

Principiante

5 módulos · 19 lecciones

4 h 51 min

Gratis

Recorra los diez riesgos de la edición 2024 del OWASP Mobile Top 10, de M1 a M10: uso indebido de credenciales, cadena de suministro, autenticación y autorización, validación de entradas y salidas, comunicación insegura, privacidad, protecciones binarias, configuración, almacenamiento y criptografía. Para cada uno verá qué es, por qué pasa, un caso público, código vulnerable frente a corregido y cómo detectarlo, siempre con enfoque de desarrollo seguro. Practique con MobSF, mobsfscan y adb sobre una app Android que usted mismo compila en un emulador, conozca MASVS y MASTG y termine con una lista de revisión, integración continua y un reporte. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 19 lecciones

4 h 55 min

Gratis

Aprenda a diseñar, escribir y revisar API seguras con el OWASP API Security Top 10, edición 2023. Recorra los diez riesgos, de API1:2023 BOLA y la autenticación rota a SSRF, la configuración incorrecta, el inventario impropio y el consumo inseguro de API de terceros: qué es cada uno, por qué ocurre, un caso público, cómo se previene y cómo se detecta, siempre con código vulnerable frente a código corregido. En los laboratorios construye su propia API en Flask en localhost, corrige la autorización por objeto, agrega límites de peticiones, campos permitidos y roles, inventaría una API vulnerable de práctica en su máquina y valida todo con un contrato OpenAPI y pruebas automáticas. Cierra con una lista de revisión, herramientas defensivas, integración continua y reporte de hallazgos. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 20 lecciones

5 h 6 min

Gratis

Recorra los diez riesgos de la edición 2025 del OWASP Top 10 para aplicaciones con modelos de lenguaje, de LLM01:2025 (prompt injection) a LLM10:2025 (consumo sin límite), con un enfoque de desarrollo seguro y defensa. Para cada riesgo verá qué es, por qué pasa, un caso público, cómo se previene y cómo se detecta, con código vulnerable frente a corregido. A lo largo del curso diseña las defensas de una aplicación RAG ficticia propia, escrita en Python sin dependencias: separar instrucciones de datos, mínimo privilegio de herramientas, confirmación humana, filtrado de salidas, control de acceso en la recuperación y registro. Cierra con un checklist de revisión, herramientas defensivas, integración en el ciclo de desarrollo y un reporte de hallazgos. Prerrequisito sugerido: IA para ciberseguridad.

Principiante

5 módulos · 19 lecciones

4 h 44 min

Gratis

Recorra los diez riesgos del OWASP Kubernetes Top 10, de K01 a K10, con enfoque de desarrollo seguro y defensa. Para cada riesgo verá qué es, por qué pasa, un caso público, cómo se previene con manifiestos vulnerables frente a corregidos y cómo se detecta. En su propio clúster kind corregirá cargas inseguras con Pod Security Admission y Trivy, aplicará RBAC mínimo y moverá secretos fuera de las variables de entorno, impondrá políticas con Kyverno y cerrará la red con NetworkPolicy. Cierra con una lista de revisión, herramientas para el pipeline y una auditoría completa con kube-bench e informe de hallazgos. Prerrequisito sugerido: Kubernetes: fundamentos y seguridad.

Principiante

5 módulos · 18 lecciones

4 h 25 min

Gratis

Proteja el pipeline que lleva su código a producción. Recorra los diez riesgos del OWASP Top 10 CI/CD Security Risks, de CICD-SEC-1 a CICD-SEC-10: control de flujo, identidades, cadena de dependencias, ejecución envenenada del pipeline, permisos del pipeline, credenciales, configuración, servicios de terceros, integridad de artefactos y registro. Para cada uno verá qué es, por qué pasa, un caso público, cómo se previene y cómo se detecta, con configuraciones vulnerables frente a corregidas. En los laboratorios endurece su propio repositorio de GitHub con ramas protegidas, permisos mínimos del GITHUB_TOKEN, acciones fijadas por hash, secretos por entorno, gitleaks y artefactos firmados con atestaciones. Prerrequisito sugerido: Git y GitHub para ciberseguridad.

Principiante

5 módulos · 18 lecciones

4 h 38 min

Gratis

Recorra los diez controles del OWASP Docker Top 10, de D01 a D10: mapeo seguro de usuarios y user namespaces, estrategia de parches para host, motor e imágenes, segmentación de red y firewall, valores seguros y endurecimiento del host y del daemon, separación de contextos de seguridad, protección de secretos, límites de recursos, integridad y origen de las imágenes, paradigma inmutable con sistema de archivos de solo lectura y registro centralizado. Para cada riesgo verá qué es, por qué pasa, un caso público, la configuración vulnerable frente a la corregida y cómo detectarlo. Practique endureciendo un Compose propio, auditando su VM con Docker Bench for Security y firmando y verificando imágenes con cosign, y cierre con una checklist de revisión, un pipeline con Hadolint y Trivy y un reporte de hallazgos. Prerrequisito sugerido: Docker: fundamentos y seguridad.

Principiante

5 módulos · 19 lecciones

4 h 56 min

Gratis

Recorra los diez riesgos del OWASP IoT Top 10 (edición 2018, I1 a I10) con ejemplos de casa y pyme costarricense: cámaras, routers, timbres y bombillos inteligentes. Para cada riesgo verá qué es, por qué pasa, un caso público, código o configuración vulnerable frente a corregida, cómo se previene y cómo se detecta. Hará laboratorios en su propia red: inventario de dispositivos desde el router, revisión de contraseñas y actualizaciones, segmentación con red de invitados y análisis del tráfico de un dispositivo propio con Wireshark. Cierra con un checklist de revisión, herramientas defensivas, integración en el ciclo de desarrollo y un informe de evaluación. Prerrequisito sugerido: Redes para ciberseguridad.

Principiante

5 módulos · 19 lecciones

4 h 57 min

Gratis

Recorra los diez riesgos del OWASP Machine Learning Security Top 10 (ML01 a ML10): manipulación de entradas, envenenamiento de datos, inversión de modelo, inferencia de pertenencia, robo de modelo, cadena de suministro de IA, ataques de transferencia, sesgo del modelo, integridad de salidas y envenenamiento del modelo. Para cada uno verá qué es, por qué pasa, un caso público, cómo prevenirlo y cómo detectarlo, con ejemplos cortos en Python y scikit-learn sobre datos sintéticos propios. Incluye laboratorios en su máquina (etiquetas envenenadas, auditoría de pertenencia, integridad de artefactos y monitoreo de deriva) y un módulo para llevarlo al trabajo con checklist, herramientas y MLOps seguro. Prerrequisito sugerido: IA para ciberseguridad y Python para ciberseguridad.

Principiante

5 módulos · 19 lecciones

4 h 56 min

Gratis

Aprenda a analizar correos sospechosos como lo hace un equipo de seguridad y a proteger el correo de su organización. Entienda cómo viaja un mensaje por SMTP, lea las cabeceras Received, Return-Path, Reply-To y Message-ID, interprete SPF, DKIM y DMARC y configure DMARC por etapas hasta reject. Analice enlaces y adjuntos sin abrirlos, consulte reputación cuidando la privacidad y responda con purga, bloqueo de indicadores, restablecimiento de credenciales y métricas de reporte. Incluye laboratorios con correos, registros DNS y casos ficticios. Amplía la píldora Análisis de phishing en 40 minutos. Prerrequisito sugerido: Introducción a la ciberseguridad.

Principiante

5 módulos · 20 lecciones

4 h 57 min

Gratis

Aprenda a leer, investigar y proteger bases de datos con SQL. Entienda tablas, filas, llaves y la diferencia entre bases relacionales y NoSQL; reconozca SQLite, PostgreSQL y MySQL; consulte con SELECT, WHERE, GROUP BY, HAVING y JOIN sobre el inventario ficticio de Cafetal Digital; importe un registro de inicios de sesión en CSV y convierta consultas en mini detecciones para encontrar fuerza bruta y accesos fuera de horario; y proteja los datos con roles de mínimo privilegio, consultas parametrizadas, respaldos, cifrado y la Ley 8968. Todos los laboratorios se hacen en su computadora con DB Browser for SQLite y datos ficticios. Prerrequisito sugerido: La terminal sin miedo.

Principiante

5 módulos · 19 lecciones

4 h 19 min

Gratis

Proteja una pequeña o mediana empresa sin presupuesto de banco. Acompañe a Café del Valle S.A., una pyme ficticia de Heredia, desde el diagnóstico con la autoevaluación CIS IG1 hasta un plan de 30 días con las acciones de mayor impacto: MFA en Microsoft 365 o Google Workspace, actualizaciones, antivirus, equipos administrados y Wi-Fi de oficina con red de invitados. Aprenda a calcular RTO y RPO, aplicar respaldos 3-2-1 con pruebas de restauración, redactar un plan de continuidad de una página, gestionar el riesgo de proveedores y responder ante un incidente sabiendo cuándo acudir a CSIRT-CR, OIJ y PRODHAB. Cierra con un ejercicio de mesa de ransomware. Prerrequisito sugerido: Introducción a la ciberseguridad.

Principiante

5 módulos · 19 lecciones

3 h 48 min

Gratis

Construya su primera página web y entienda, con ojos de defensor, cómo funciona por dentro. Aprenda HTML con etiquetas, atributos y formularios GET y POST; dé estilo con CSS y diseño adaptable; use las herramientas de desarrollador del navegador (Elementos, Consola y Red); programe en JavaScript con variables, funciones, eventos y el DOM, y compruebe por usted mismo que validar en el navegador no es seguridad. Cierra con lo que nunca debe ir en el código del cliente, cabeceras básicas, dependencias de terceros y la publicación de su página por HTTPS en un hosting estático gratuito. Todo se practica en su propia computadora y con su propia página. Prerrequisito sugerido: Internet y la web desde cero.

Principiante

5 módulos · 19 lecciones

4 h 48 min

Gratis