0 de 106 estudiados
La columna vertebral del software moderno: cada commit se convierte en build, pruebas y deploy sin intervención manual.
empezar este tema todos los dominios AppSec CloudSec Agentes SecOps Ingeniería OWASP Top 10 Vibecoding DevOps Respuesta a incidentes Seguridad ofensiva GRC y liderazgo
cualquier carrera AppSec Engineer DevSecOps Engineer DevOps / Platform Engineer Cloud Security Engineer Detection / SOC Engineer AI Security Engineer Security Architect Incident Responder Threat Hunter Forensics and Malware Analyst Penetration Tester Red Team Operator Third-Party Risk Analyst GRC and Compliance Manager CISO
01 Fundamentos
Las ideas sobre las que se apoya todo lo demás.
02 Práctica
Aplica los controles y haz que funcionen en la práctica.
03 Avanzado
Diseña, escala y opera en profundidad.
Fundamentos
CI/CD El pipeline automatizado de build, pruebas y deploy siguiente Secrets Scanning Detecta claves y contraseñas en el repositorio Shift-left Seguridad lo más temprano posible Práctica
SAST Análisis estático del código fuente DAST Prueba dinámica en la aplicación en ejecución SCA Inventario y CVEs de las dependencias Threat modeling: pensar como el atacante antes de programar encontrar la falla en el diseño, antes de que exista código Avanzado
SBOM La lista de ingredientes del software DevSecOps Seguridad integrada en cada stage Fundamentos
IAM - identidad y acceso quién es quién, y qué puede hacer cada uno Network - segmentación y zero-trust segmentación, microsegmentación y network policies Logging & detection - señales y alertas CloudTrail, auditoría y correlación de señales Práctica
Containers - imágenes y cadena de suministro build, signing y runtime inmutable CSPM - postura cloud postura continua en la nube Secrets - bóvedas y rotación credenciales nunca en el código KMS & crypto - claves y envelopes gestión de claves y cifrado Zero-trust - modelo de confianza nunca confiar, siempre verificar Avanzado
Kubernetes - runtime seguro RBAC, admission y seguridad del clúster CWPP - protección de workloads runtime y comportamiento de la carga Respuesta a incidentes en la nube de la alerta a la contención, con la prueba preservada Fundamentos
Chunking cortar el documento en fragmentos recuperables Embeddings convertir texto en vectores que aproximan el significado LLM - large language model el modelo que genera texto a partir del contexto Práctica
RAG - retrieval-augmented generation respuestas basadas en documentos recuperados Vector DB base de datos que busca por distancia en vez de por término exacto Retrieval elegir los pasajes correctos para la pregunta Tool calling el modelo invoca funciones externas tipadas Evals - calidad medida en producción dataset, métrica y runner para medir calidad Guardrails - filtros de entrada y salida filtros de entrada y salida para contener al agente Avanzado
Agent frameworks esqueleto para orquestar razonamiento, memoria y herramientas Orchestration coordinar múltiples agentes y etapas MCP - model context protocol protocolo estandarizado entre modelo y herramientas Benchmarks - referencia pública conjuntos públicos para comparar agentes y LLMs LLM as judge - rúbrica automatizada usar un LLM para puntuar la salida de otro Regression evals - suite fija en el PR suite fija que bloquea regresiones en el PR Fundamentos
Telemetría de borde y de aplicación del log crudo al evento listo para detectar Ataques L7: qué buscar una taxonomía de los abusos de la capa de aplicación Práctica
Ingeniería de detección tratar las detecciones como software: versionadas, probadas y medidas WAF - observación, shadow y enforcement filtrar el tráfico L7 sin tumbar lo que es legítimo Rate limiting adaptativo limitar el abuso sin castigar a quien usa de verdad Bot management separar la automatización legítima del abuso automatizado Avanzado
Escala: telemetría, cardinalidad y costo mantener la detección rápida y barata cuando el volumen explota Runbooks, respuesta y hardening posincidente de la contención rápida a la corrección que cierra la puerta SLOs de SOC y tuning continuo medir tiempo, precisión y cobertura, y ajustar cada semana Defensa en capas: diseño de sistemas de borde dónde vive cada control, y qué pasa cuando falla
Práctica
Infraestructura segura como código Terraform y Ansible revisados, escaneados y sin drift Hardening de CI/CD el pipeline también es un objetivo: protegerlo es proteger todo lo que entrega Avanzado
Policy as code reglas de seguridad ejecutables, versionadas y testeables Confiabilidad a escala: idempotencia, reintentos y backpressure el pipeline que resiste fallas sin perder ni duplicar una decisión Observabilidad de la propia plataforma de seguridad saber cuándo el pipeline de detección está ciego o atrasado Automatización de seguridad y playbooks como código respuesta automática con frenos: idempotente, auditable y reversible IA en el triaje y la mitigación LLMs como asistentes de seguridad, con validación y sin confianza ciega La seguridad como producto interno el camino seguro tiene que ser el camino más fácil Fundamentos
A01 Broken Access Control usuarios que actúan fuera de los permisos que debían tener A05 Injection entrada no confiable interpretada como código o comandos A07 Authentication Failures los atacantes se hacen pasar por otra persona: sesiones adivinadas, reutilizadas, robadas o fijadas Práctica
A02 Security Misconfiguration software seguro, entregado con configuraciones inseguras A03 Software Supply Chain Failures compromiso a través de aquello de lo que dependes, con lo que compilas o lo que instalas A04 Cryptographic Failures datos sensibles expuestos por criptografía débil, ausente o mal usada A06 Insecure Design una falla en la propia idea, que ningún código limpio corrige A09 Security Logging and Alerting Failures ataques que pasan inadvertidos porque nada los registró o nadie fue avisado A10 Mishandling of Exceptional Conditions errores, timeouts y entradas extrañas que dejan el sistema abierto o filtrando Avanzado
A08 Software or Data Integrity Failures confiar en código o datos que pudieron haber sido manipulados Fundamentos
El espectro del vibecoding del autocompletado a los agents autónomos, y dónde encaja cada uno Modelo, harness y provider las tres capas detrás de toda herramienta de código con IA, y por qué el mismo modelo se comporta distinto Agents de código comparados Claude Code, OpenCode, OMP, OMO, herdr y el resto: qué es cada uno y en qué se diferencian Práctica
Elegir un modelo: de frontera, barato y abierto Claude, GPT, Gemini, DeepSeek y modelos locales: calidad, costo, velocidad y a dónde va tu código Cuándo usar qué una guía de decisión de la tarea a la herramienta, el modelo y el nivel de autonomía Context engineering para agents de código instrucciones del proyecto, planes, skills y tareas pequeñas: cómo obtener resultados confiables El loop de verificación pruebas, diffs, revisión y gates de CI: confiar en la salida de la IA solo hasta donde puedas comprobarla Avanzado
Orquestación y agents en paralelo git worktrees, multiplexores como herdr y capas como OMO: ejecutar muchos agents sin caos Proteger al propio agent permisos, sandboxes, prompt injection, secretos y cadena de suministro para agents de código Fundamentos
Fundamentos de Linux y redes procesos, permisos, servicios, DNS, TCP y TLS: el suelo sobre el que se apoya toda otra herramienta Flujos de Git y code review branching, pull requests, ramas protegidas y ownership como la puerta de entrada de la entrega Contenedores e imágenes imágenes, capas, registries y un Dockerfile pequeño, reproducible y seguro de ejecutar El ciclo de vida de la entrega del commit a producción y de vuelta: integración, entrega y despliegue continuos Práctica
Pipelines de CI que siguen siendo rápidos stages, caché, artefactos y builds reproducibles Infraestructura como código describe servidores, redes y servicios en archivos, revísalos y aplícalos de forma repetible Fundamentos de Kubernetes pods, deployments, services, configuración, probes y límites de recursos Observabilidad: métricas, logs y traces saber qué hace tu sistema desde afuera y alertar sobre lo que importa Avanzado
Estrategias de release y rollback blue/green, canary, rolling y feature flags: entregar sin apostar la empresa Confiabilidad: SLOs, error budgets e incidentes definir qué tan confiable es suficientemente confiable y aprender de cada falla Respuesta a incidentes
0/8
Fundamentos
El ciclo de vida de la respuesta a incidentes preparar, detectar, contener, erradicar, recuperar y aprender: el ciclo que sigue todo incidente Inteligencia de amenazas saber quién te ataca y cómo, y usarlo para decidir qué defender primero Práctica
Análisis de logs y construcción de una línea de tiempo convertir logs dispersos en la historia de lo que hizo el atacante y cuándo Triaje, acotamiento del alcance y contención decidir qué pasó y qué tan grande es, y luego detener la hemorragia sin destruir evidencia Playbook de respuesta a ransomware contener rápido, preservar evidencia, recuperar desde respaldos y decidir junto con legal y la dirección Avanzado
Threat hunting buscar atacantes que tus alertas no detectaron, a partir de una hipótesis Fundamentos de forense digital recolectar evidencia en el orden correcto, demostrar que no fue alterada y leer lo que muestra Fundamentos de análisis de malware hacer el triaje seguro de un archivo sospechoso: análisis estático y dinámico, reglas de detección y un laboratorio disciplinado Fundamentos
Autorización, alcance y ética lo que separa una prueba de seguridad de un delito: permiso, límites y reglas de compromiso Metodología de pruebas de penetración fases, tipos de prueba y los estándares que dan estructura y repetibilidad a una evaluación Práctica
Reconocimiento y superficie de ataque encontrar lo que está expuesto: activos, servicios y sistemas olvidados, desde el lado del atacante y del defensor Pruebas de seguridad de web y API un método para probar autenticación, autorización y manejo de entradas, con dos cuentas y un proxy de interceptación Ingeniería social y defensa contra phishing la superficie de ataque humana: cómo funciona, cómo simularla de forma ética y los controles que funcionan Reportar hallazgos y conducir la remediación el informe es el producto: impacto claro, evidencias reproducibles y correcciones que las personas pueden aplicar Avanzado
Rutas de ataque y escalada de privilegios cómo pequeñas configuraciones incorrectas se encadenan hasta el compromiso total, y cómo los defensores encuentran la cadena primero Red team, purple team y emulación de adversario probar si las personas y la detección pueden detener a un adversario realista, y no solo si existe un bug Fundamentos
Gestión de riesgos de seguridad identificar, calificar, tratar y dar seguimiento a los riesgos para que las decisiones se tomen a propósito Marcos y estándares de seguridad ISO 27001, NIST CSF, CIS Controls y PCI DSS: para qué sirve cada uno y cómo elegir Práctica
Riesgo de terceros y de la cadena de suministro evaluar proveedores y socios, porque su debilidad se vuelve la tuya Principios de arquitectura de seguridad zero trust, defensa en profundidad, mínimo privilegio y arquitecturas de referencia que escalan Cumplimiento en la práctica: controles, evidencias y auditorías convertir requisitos en controles con responsable, recopilar evidencias de forma continua y aprobar auditorías con tranquilidad Métricas de seguridad e informes para la dirección medir resultados, no actividad, y contarle al directorio una historia sobre la que pueda actuar Avanzado
Estrategia, hoja de ruta y presupuesto de seguridad lo que decide un CISO: prioridades, un plan plurianual, un presupuesto y los trade-offs detrás de ellos Comunicación de crisis y cultura de seguridad qué decir, a quién y cuándo durante un incidente, y cómo la cultura lo decide todo antes