Catálogo

Aprenda a gestionar el riesgo del código que su aplicación hereda de terceros. Entienda las dependencias directas y transitivas, qué es un CVE y cómo leer un aviso; genere un SBOM en CycloneDX y audite su proyecto con pip-audit, npm audit y OWASP Dependency-Check; aplique versiones fijadas, lockfiles y Dependabot, y defina una política de actualización basada en OWASP ASVS que contemple componentes abandonados y de fin de vida. Cierra priorizando hallazgos con CVSS, EPSS y el catálogo KEV, detectando intentos de explotación en logs y WAF, y redactando un reporte de hallazgo. Los laboratorios se hacen en una aplicación Flask propia en localhost. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 40 min

Gratis

Aprenda a construir, revisar y vigilar un inicio de sesión que resista los ataques reales. Entienda por qué fallan la autenticación y las sesiones, con los CWE principales y casos públicos; aplique las recomendaciones de NIST SP 800-63B sobre contraseñas, guárdelas con Argon2id, configure cookies y sesiones seguras, evite mensajes que revelan usuarios, implemente MFA y passkeys, límites con bloqueo progresivo contra el relleno de credenciales y una recuperación de cuenta segura. En los laboratorios escribe su propia aplicación Flask en localhost, la revisa con OWASP ASVS, la corrige con pruebas automáticas y detecta un ataque en sus registros. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 19 lecciones

4 h 47 min

Gratis

Aprenda a proteger la integridad de su software y de sus datos desde el desarrollo. Entienda los ataques a la cadena de suministro con casos públicos como SolarWinds, Codecov y xz utils; la deserialización insegura explicada de forma conceptual; y los riesgos de los pipelines de CI/CD con permisos excesivos, secretos expuestos y acciones sin fijar. Revise código y workflows vulnerables, corríjalos con hashes, firmas, actualizaciones firmadas, OIDC, SLSA y Sigstore, escriba pruebas automáticas que demuestren cada corrección y detecte la manipulación en logs y WAF. Los laboratorios se hacen en una aplicación Flask que usted escribe y corre en localhost. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 41 min

Gratis

Aprenda a que su aplicación deje rastro útil cuando la atacan. Verá qué eventos registrar (autenticación, autorización, errores y acciones administrativas), qué datos nunca deben llegar a un registro, cómo evitar la inyección en registros, el formato estructurado en JSON, la centralización, la retención y la integridad de la evidencia. Revisará código Flask vulnerable, lo corregirá con un módulo de registro reutilizable y escribirá pruebas automáticas con pytest que demuestren la corrección. Cierra con alertas útiles, la conexión de la aplicación a un SIEM como Wazuh, la respuesta a incidentes y el reporte de hallazgos A09. Todo en su propia computadora. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 33 min

Gratis

Entienda la categoría A10:2021 del OWASP Top 10 desde el desarrollo seguro y la defensa. Aprenda qué es SSRF, por qué es tan grave en la nube y cómo proteger el servicio de metadatos con IMDSv2, reconozca el patrón fuente y sumidero en Python y Node, revise código con un procedimiento repetible, y prevenga la falla con listas de permitidos, validación de URLs, resolución DNS, segmentación de red y proxy de egreso. Construirá una pequeña aplicación propia en localhost, la corregirá con pruebas automáticas y aprenderá a detectar intentos en registros, escribir alertas y redactar un reporte de hallazgo. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 18 lecciones

4 h 37 min

Gratis

Aprenda a usar MITRE ATT&CK como lo hace un equipo azul. Conozca las matrices Enterprise, Mobile e ICS, la diferencia entre tácticas, técnicas, sub-técnicas y procedimientos, y cómo se conectan grupos, software, mitigaciones y telemetría. Mapee informes de amenazas a técnicas y construya capas en ATT&CK Navigator. Mida la cobertura de sus detecciones, priorice según los actores que apuntan a su región y sector, y combine mitigaciones, D3FEND y reglas Sigma. Cierre con planes de emulación, pruebas seguras con Atomic Red Team en una VM propia, purple teaming y un resumen ejecutivo para dirección. Prerrequisito sugerido: Introducción al SOC: su primer turno como analista.

Principiante

5 módulos · 19 lecciones

4 h 51 min

Gratis

Píldora práctica para empezar a analizar tráfico de red con Wireshark de forma legal y en su propio equipo. Aprenda a instalarlo, elegir la interfaz correcta y leer sus tres paneles; a distinguir los filtros de captura de los de visualización; a seguir un flujo TCP para reconstruir una conversación y a usar las estadísticas (jerarquía de protocolos, conversaciones, gráfica de E/S) para ver el panorama. En el laboratorio genera usted mismo consultas DNS a nombres aleatorios y un beacon HTTP local, los captura y los detecta como lo haría un analista de SOC. Incluye una chuleta final de filtros, menús y tshark. Sin prerrequisitos.

[ Píldora · 48 min ]

Principiante

6 lecciones

Gratis

Píldora práctica para dominar CyberChef, la herramienta gratuita que todo analista de SOC tiene abierta en una pestaña. Aprenda a armar recetas, a decodificar Base64, hexadecimal y codificación URL, a desofuscar un comando de PowerShell codificado capa por capa, y a extraer y neutralizar indicadores de compromiso, calcular hashes y convertir timestamps UNIX y de Windows. Cierra con un laboratorio sobre un correo de phishing y un log de proxy ficticios del que usted saca un mini reporte con IOCs listos para compartir, más una chuleta de operaciones para el día a día. Solo necesita un navegador.

[ Píldora · 52 min ]

Principiante

6 lecciones

Gratis

Píldora práctica para escribir sus primeras reglas YARA, la herramienta libre que usan los equipos defensivos para clasificar muestras, buscar archivos durante una respuesta a incidentes y compartir inteligencia. Aprenda qué es y qué no es YARA, cómo se arma una regla con sus secciones meta, strings y condition, y cómo probarla con archivos de texto propios y con el archivo de prueba EICAR, que es inofensivo. Verá por qué una regla demasiado amplia genera falsos positivos y cómo corregirla. En el laboratorio escribirá y probará dos reglas contra muestras de práctica de una ferretería costarricense ficticia. Incluye una chuleta de sintaxis y comandos. Sin malware real.

[ Píldora · 51 min ]

Principiante

6 lecciones

Gratis

Píldora práctica para dar sus primeros pasos en forense de memoria. Entienda qué es un volcado de RAM y qué evidencia vive solo ahí, capture la memoria de su propia VM desde el hipervisor o con WinPmem y calcule su hash, e instale Volatility 3 para usar windows.info, pslist, pstree, netscan y cmdline. Aprenda a interpretar procesos, padres, rutas y conexiones, y cierre con un laboratorio sobre un volcado público de retos forenses y un extracto ficticio con solución. Recomendable manejar la terminal y Windows a nivel básico.

[ Píldora · 55 min ]

Principiante

6 lecciones

Gratis

Píldora práctica para mirar Windows por dentro con las herramientas gratuitas de Sysinternals. Lea el árbol de procesos y sus firmas con Process Explorer, encuentre persistencia con Autoruns, asocie conexiones a procesos con TCPView, filtre actividad con Process Monitor e instale Sysmon con una configuración comunitaria. Cierre con un laboratorio en su propia VM Windows donde planta una persistencia inofensiva y la persigue con cada herramienta. Recomendable haber usado Windows y PowerShell a nivel básico.

[ Píldora · 54 min ]

Principiante

6 lecciones

Gratis

Recorra los diez riesgos de la edición 2024 del OWASP Mobile Top 10, de M1 a M10: uso indebido de credenciales, cadena de suministro, autenticación y autorización, validación de entradas y salidas, comunicación insegura, privacidad, protecciones binarias, configuración, almacenamiento y criptografía. Para cada uno verá qué es, por qué pasa, un caso público, código vulnerable frente a corregido y cómo detectarlo, siempre con enfoque de desarrollo seguro. Practique con MobSF, mobsfscan y adb sobre una app Android que usted mismo compila en un emulador, conozca MASVS y MASTG y termine con una lista de revisión, integración continua y un reporte. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 19 lecciones

4 h 55 min

Gratis

Aprenda a diseñar, escribir y revisar API seguras con el OWASP API Security Top 10, edición 2023. Recorra los diez riesgos, de API1:2023 BOLA y la autenticación rota a SSRF, la configuración incorrecta, el inventario impropio y el consumo inseguro de API de terceros: qué es cada uno, por qué ocurre, un caso público, cómo se previene y cómo se detecta, siempre con código vulnerable frente a código corregido. En los laboratorios construye su propia API en Flask en localhost, corrige la autorización por objeto, agrega límites de peticiones, campos permitidos y roles, inventaría una API vulnerable de práctica en su máquina y valida todo con un contrato OpenAPI y pruebas automáticas. Cierra con una lista de revisión, herramientas defensivas, integración continua y reporte de hallazgos. Prerrequisito sugerido: Seguridad web con OWASP Top 10.

Principiante

5 módulos · 20 lecciones

5 h 6 min

Gratis

Recorra los diez riesgos de la edición 2025 del OWASP Top 10 para aplicaciones con modelos de lenguaje, de LLM01:2025 (prompt injection) a LLM10:2025 (consumo sin límite), con un enfoque de desarrollo seguro y defensa. Para cada riesgo verá qué es, por qué pasa, un caso público, cómo se previene y cómo se detecta, con código vulnerable frente a corregido. A lo largo del curso diseña las defensas de una aplicación RAG ficticia propia, escrita en Python sin dependencias: separar instrucciones de datos, mínimo privilegio de herramientas, confirmación humana, filtrado de salidas, control de acceso en la recuperación y registro. Cierra con un checklist de revisión, herramientas defensivas, integración en el ciclo de desarrollo y un reporte de hallazgos. Prerrequisito sugerido: IA para ciberseguridad.

Principiante

5 módulos · 19 lecciones

4 h 44 min

Gratis

Recorra los diez riesgos del OWASP Kubernetes Top 10, de K01 a K10, con enfoque de desarrollo seguro y defensa. Para cada riesgo verá qué es, por qué pasa, un caso público, cómo se previene con manifiestos vulnerables frente a corregidos y cómo se detecta. En su propio clúster kind corregirá cargas inseguras con Pod Security Admission y Trivy, aplicará RBAC mínimo y moverá secretos fuera de las variables de entorno, impondrá políticas con Kyverno y cerrará la red con NetworkPolicy. Cierra con una lista de revisión, herramientas para el pipeline y una auditoría completa con kube-bench e informe de hallazgos. Prerrequisito sugerido: Kubernetes: fundamentos y seguridad.

Principiante

5 módulos · 18 lecciones

4 h 25 min

Gratis

Proteja el pipeline que lleva su código a producción. Recorra los diez riesgos del OWASP Top 10 CI/CD Security Risks, de CICD-SEC-1 a CICD-SEC-10: control de flujo, identidades, cadena de dependencias, ejecución envenenada del pipeline, permisos del pipeline, credenciales, configuración, servicios de terceros, integridad de artefactos y registro. Para cada uno verá qué es, por qué pasa, un caso público, cómo se previene y cómo se detecta, con configuraciones vulnerables frente a corregidas. En los laboratorios endurece su propio repositorio de GitHub con ramas protegidas, permisos mínimos del GITHUB_TOKEN, acciones fijadas por hash, secretos por entorno, gitleaks y artefactos firmados con atestaciones. Prerrequisito sugerido: Git y GitHub para ciberseguridad.

Principiante

5 módulos · 18 lecciones

4 h 38 min

Gratis

Recorra los diez controles del OWASP Docker Top 10, de D01 a D10: mapeo seguro de usuarios y user namespaces, estrategia de parches para host, motor e imágenes, segmentación de red y firewall, valores seguros y endurecimiento del host y del daemon, separación de contextos de seguridad, protección de secretos, límites de recursos, integridad y origen de las imágenes, paradigma inmutable con sistema de archivos de solo lectura y registro centralizado. Para cada riesgo verá qué es, por qué pasa, un caso público, la configuración vulnerable frente a la corregida y cómo detectarlo. Practique endureciendo un Compose propio, auditando su VM con Docker Bench for Security y firmando y verificando imágenes con cosign, y cierre con una checklist de revisión, un pipeline con Hadolint y Trivy y un reporte de hallazgos. Prerrequisito sugerido: Docker: fundamentos y seguridad.

Principiante

5 módulos · 19 lecciones

4 h 56 min

Gratis

Recorra los diez riesgos del OWASP IoT Top 10 (edición 2018, I1 a I10) con ejemplos de casa y pyme costarricense: cámaras, routers, timbres y bombillos inteligentes. Para cada riesgo verá qué es, por qué pasa, un caso público, código o configuración vulnerable frente a corregida, cómo se previene y cómo se detecta. Hará laboratorios en su propia red: inventario de dispositivos desde el router, revisión de contraseñas y actualizaciones, segmentación con red de invitados y análisis del tráfico de un dispositivo propio con Wireshark. Cierra con un checklist de revisión, herramientas defensivas, integración en el ciclo de desarrollo y un informe de evaluación. Prerrequisito sugerido: Redes para ciberseguridad.

Principiante

5 módulos · 19 lecciones

4 h 57 min

Gratis

Recorra los diez riesgos del OWASP Machine Learning Security Top 10 (ML01 a ML10): manipulación de entradas, envenenamiento de datos, inversión de modelo, inferencia de pertenencia, robo de modelo, cadena de suministro de IA, ataques de transferencia, sesgo del modelo, integridad de salidas y envenenamiento del modelo. Para cada uno verá qué es, por qué pasa, un caso público, cómo prevenirlo y cómo detectarlo, con ejemplos cortos en Python y scikit-learn sobre datos sintéticos propios. Incluye laboratorios en su máquina (etiquetas envenenadas, auditoría de pertenencia, integridad de artefactos y monitoreo de deriva) y un módulo para llevarlo al trabajo con checklist, herramientas y MLOps seguro. Prerrequisito sugerido: IA para ciberseguridad y Python para ciberseguridad.

Principiante

5 módulos · 19 lecciones

4 h 56 min

Gratis

Aprenda a analizar correos sospechosos como lo hace un equipo de seguridad y a proteger el correo de su organización. Entienda cómo viaja un mensaje por SMTP, lea las cabeceras Received, Return-Path, Reply-To y Message-ID, interprete SPF, DKIM y DMARC y configure DMARC por etapas hasta reject. Analice enlaces y adjuntos sin abrirlos, consulte reputación cuidando la privacidad y responda con purga, bloqueo de indicadores, restablecimiento de credenciales y métricas de reporte. Incluye laboratorios con correos, registros DNS y casos ficticios. Amplía la píldora Análisis de phishing en 40 minutos. Prerrequisito sugerido: Introducción a la ciberseguridad.

Principiante

5 módulos · 20 lecciones

4 h 57 min

Gratis

Aprenda a leer, investigar y proteger bases de datos con SQL. Entienda tablas, filas, llaves y la diferencia entre bases relacionales y NoSQL; reconozca SQLite, PostgreSQL y MySQL; consulte con SELECT, WHERE, GROUP BY, HAVING y JOIN sobre el inventario ficticio de Cafetal Digital; importe un registro de inicios de sesión en CSV y convierta consultas en mini detecciones para encontrar fuerza bruta y accesos fuera de horario; y proteja los datos con roles de mínimo privilegio, consultas parametrizadas, respaldos, cifrado y la Ley 8968. Todos los laboratorios se hacen en su computadora con DB Browser for SQLite y datos ficticios. Prerrequisito sugerido: La terminal sin miedo.

Principiante

5 módulos · 19 lecciones

4 h 19 min

Gratis

Proteja una pequeña o mediana empresa sin presupuesto de banco. Acompañe a Café del Valle S.A., una pyme ficticia de Heredia, desde el diagnóstico con la autoevaluación CIS IG1 hasta un plan de 30 días con las acciones de mayor impacto: MFA en Microsoft 365 o Google Workspace, actualizaciones, antivirus, equipos administrados y Wi-Fi de oficina con red de invitados. Aprenda a calcular RTO y RPO, aplicar respaldos 3-2-1 con pruebas de restauración, redactar un plan de continuidad de una página, gestionar el riesgo de proveedores y responder ante un incidente sabiendo cuándo acudir a CSIRT-CR, OIJ y PRODHAB. Cierra con un ejercicio de mesa de ransomware. Prerrequisito sugerido: Introducción a la ciberseguridad.

Principiante

5 módulos · 19 lecciones

3 h 48 min

Gratis

Construya su primera página web y entienda, con ojos de defensor, cómo funciona por dentro. Aprenda HTML con etiquetas, atributos y formularios GET y POST; dé estilo con CSS y diseño adaptable; use las herramientas de desarrollador del navegador (Elementos, Consola y Red); programe en JavaScript con variables, funciones, eventos y el DOM, y compruebe por usted mismo que validar en el navegador no es seguridad. Cierra con lo que nunca debe ir en el código del cliente, cabeceras básicas, dependencias de terceros y la publicación de su página por HTTPS en un hosting estático gratuito. Todo se practica en su propia computadora y con su propia página. Prerrequisito sugerido: Internet y la web desde cero.

Principiante

5 módulos · 19 lecciones

4 h 48 min

Gratis

Aprenda a controlar quién entra, a qué y con qué permisos en una organización. Distinga identificación, autenticación, autorización y auditoría; diseñe roles con RBAC, ABAC y mínimo privilegio; implemente MFA resistente al phishing, passkeys y FIDO2; entienda SSO, SAML y OpenID Connect sin escribir código; aplique la política de contraseñas de NIST SP 800-63B; gestione altas, cambios y bajas, cuentas de servicio y privilegiadas (PAM) y revisiones de acceso; y vigile inicios de sesión para responder ante una cuenta comprometida. Incluye laboratorios con la empresa ficticia Cafetal Digital y una cuenta de prueba en la nube. Prerrequisito sugerido: Introducción a la ciberseguridad.

Principiante

5 módulos · 18 lecciones

3 h 57 min

Gratis