Rutas de estudio

El orden natural para entender cada verificación y dónde entra en el pipeline.

1. 1CI/CDappsecEl pipeline es el escenario: entiende las etapas antes que las herramientas.
2. 2Shift-leftappsecLa idea que organiza todo: encontrarlo temprano cuesta menos.
3. 3Threat modeling: pensar como el atacante antes de programarappsecEl punto más a la izquierda: encontrar la falla en el diseño.
4. 4Secrets ScanningappsecEl error más común y el más barato de evitar.
5. 5SASTappsecMirar el código que escribiste.
6. 6SCAappsecMirar el código que importaste.
7. 7SBOMappsecGuardar el inventario de lo que se entregó.
8. 8DASTappsecAtacar la aplicación en ejecución, desde afuera.
9. 9DevSecOpsappsecJuntar todo en gates, políticas y cultura.

Sigue el ciclo cloud: proteger, detectar y responder, empezando por la identidad.

1. 1IAM - identidad y accesocloudsecLa identidad es el nuevo perímetro: el punto de partida.
2. 2Network - segmentación y zero-trustcloudsecSegmentar para limitar el movimiento lateral.
3. 3Logging & detection - señales y alertascloudsecSin señal no hay detección: los logs van primero.
4. 4Zero-trust - modelo de confianzacloudsecEl modelo mental que une identidad y red: ningún origen es confiable por defecto.
5. 5KMS & crypto - claves y envelopescloudsecCifrar bien depende de controlar las claves.
6. 6Secrets - bóvedas y rotacióncloudsecSecretos efímeros, en una bóveda, con rotación.
7. 7Containers - imágenes y cadena de suministrocloudsecImágenes inmutables y la cadena de suministro.
8. 8Kubernetes - runtime segurocloudsecEl clúster como sistema operativo distribuido.
9. 9CSPM - postura cloudcloudsecPostura continua: detectar desvíos de configuración.
10. 10CWPP - protección de workloadscloudsecVer lo que ocurre dentro del workload.
11. 11Respuesta a incidentes en la nubecloudsecDe la alerta a la contención, con la prueba preservada.

Arma el pipeline de un agente y aprende dónde aparece cada riesgo.

1. 1LLM - large language modelai-agentsEl núcleo: qué hace el modelo y dónde falla.
2. 2Chunkingai-agentsCómo se divide el conocimiento.
3. 3Embeddingsai-agentsConvertir texto en significado vectorial.
4. 4Vector DBai-agentsDónde viven los vectores y quién puede verlos.
5. 5Retrievalai-agentsElegir el contexto correcto para la pregunta.
6. 6RAG - retrieval-augmented generationai-agentsUnir recuperación y generación, y su riesgo de inyección indirecta.
7. 7Tool callingai-agentsCuando el modelo pasa a actuar en el mundo.
8. 8MCP - model context protocolai-agentsEl protocolo que conecta herramientas, y su superficie de ataque.
9. 9Orchestrationai-agentsVarios agentes, una confianza que no debe ser transitiva.
10. 10Guardrails - filtros de entrada y salidaai-agentsCapas de protección antes y después del modelo.
11. 11Evals - calidad medida en producciónai-agentsMedir antes de creer.
12. 12Regression evals - suite fija en el PRai-agentsProteger lo que ya funciona en cada cambio.

Un camino que cruza dominios: el mismo artefacto, del pipeline a producción.

1. 1Threat modeling: pensar como el atacante antes de programarappsecEmpieza por el diseño: ¿qué amenazas vale la pena tratar?
2. 2Secrets ScanningappsecNingún secreto en el repositorio.
3. 3SCAappsecDependencias verificadas antes del build.
4. 4SBOMappsecEl inventario que acompaña al artefacto.
5. 5Containers - imágenes y cadena de suministrocloudsecEl artefacto se vuelve imagen: firmada e inmutable.
6. 6IAM - identidad y accesocloudsecEl workload corre con el mínimo privilegio necesario.
7. 7Secrets - bóvedas y rotacióncloudsecEn producción, el secreto sale de la bóveda.
8. 8CSPM - postura cloudcloudsecLa postura del entorno se vigila continuamente.
9. 9Respuesta a incidentes en la nubecloudsecCuando algo se escapa, la respuesta ya está ensayada.

Del log al bloqueo: observa, detecta, actúa y mide, como un programa real de defensa de borde.

1. 1Telemetría de borde y de aplicaciónsecopsSin buenos datos, no hay buena detección.
2. 2Escala: telemetría, cardinalidad y costosecopsCómo mantener todo rápido y barato cuando el volumen explota.
3. 3Ataques L7: qué buscarsecopsLas firmas de los ataques que vas a buscar.
4. 4Ingeniería de detecciónsecopsConvertir patrones en detecciones versionadas y medidas.
5. 5WAF - observación, shadow y enforcementsecopsActuar con cuidado: observación, shadow y enforcement.
6. 6Rate limiting adaptativosecopsLimitar el abuso sin castigar a quien usa de verdad.
7. 7Bot managementsecopsSeparar la automatización legítima del abuso automatizado.
8. 8Runbooks, respuesta y hardening posincidentesecopsContención rápida y corrección que cierra la puerta.
9. 9SLOs de SOC y tuning continuosecopsProbar que funciona y ajustar cada semana.
10. 10Defensa en capas: diseño de sistemas de bordesecopsEl diseño que une todo: dónde vive cada control y qué pasa si falla.

De la infraestructura como código a la automatización con frenos: cómo construir la plataforma de seguridad.

1. 1Infraestructura segura como códigosecengEmpieza por lo que aprovisionas: infraestructura revisada y escaneada.
2. 2Policy as codesecengReglas ejecutables que valen para todos.
3. 3Hardening de CI/CDsecengEl pipeline que entrega todo debe ser confiable.
4. 4Confiabilidad a escala: idempotencia, reintentos y backpressuresecengA escala, las fallas ocurren: no perder ni duplicar decisiones.
5. 5Observabilidad de la propia plataforma de seguridadsecengSaber cuándo tu propio pipeline está ciego.
6. 6Automatización de seguridad y playbooks como códigosecengRespuesta automática con frenos.
7. 7IA en el triaje y la mitigaciónsecengAcelerar el triage sin confiar a ciegas.
8. 8La seguridad como producto internosecengEl camino seguro debe ser el más fácil.

Los diez riesgos más importantes en aplicaciones web, en el orden que más sentido tiene para aprender, cada uno con código que falla, código que resiste y la prueba que lo demuestra.

1. 1A01 Broken Access ControlowaspEl riesgo número uno: quién puede hacer qué, en cada solicitud.
2. 2A05 InjectionowaspDatos que se vuelven instrucciones: el patrón detrás de SQLi, XSS y comandos.
3. 3A07 Authentication FailuresowaspDemostrar quién es el usuario sin abrirle la puerta a nadie más.
4. 4A04 Cryptographic FailuresowaspProteger datos en reposo y en tránsito sin inventar un algoritmo.
5. 5A02 Security MisconfigurationowaspSoftware correcto, configuración insegura: el error más barato de encontrar.
6. 6A06 Insecure DesignowaspLa falla que está en la idea, no en el código.
7. 7A03 Software Supply Chain FailuresowaspEntregas el código de otros junto con el tuyo.
8. 8A08 Software or Data Integrity FailuresowaspProbar que lo que corre es lo que debería correr.
9. 9A09 Security Logging and Alerting FailuresowaspVer el ataque mientras ocurre.
10. 10A10 Mishandling of Exceptional ConditionsowaspLo que pasa cuando algo sale mal también es seguridad.

De lo que son estas herramientas hasta usarlas con seguridad: capas, comparación, contexto, paralelismo, verificación y seguridad del agente.

1. 1El espectro del vibecodingvibecodingEl espectro: del autocompletado a los agentes autónomos, y dónde sirve cada uno.
2. 2Modelo, harness y providervibecodingModelo, harness y proveedor: la confusión que explica casi todo.
3. 3Agents de código comparadosvibecodingClaude Code, OpenCode, OMP, OMO, herdr: qué es realmente cada uno.
4. 4Elegir un modelo: de frontera, barato y abiertovibecodingModelos de punta, baratos y abiertos: costo, velocidad y adónde va tu código.
5. 5Cuándo usar quévibecodingDe la tarea a la herramienta, el modelo y el nivel de autonomía.
6. 6Context engineering para agents de códigovibecodingLo que el agente ve decide la calidad de lo que hace.
7. 7El loop de verificaciónvibecodingConfiar solo en lo que puedes comprobar.
8. 8Orquestación y agents en paralelovibecodingVarios agentes sin caos: worktrees, multiplexores y revisión.
9. 9Proteger al propio agentvibecodingEl agente lee texto no confiable y ejecuta comandos: protégelo.

La base que exigen DevOps y DevSecOps, en el orden en que cada pieza se apoya en la anterior.

1. 1Fundamentos de Linux y redesdevopsLa base: procesos, permisos, DNS, TCP y TLS.
2. 2Flujos de Git y code reviewdevopsTodo cambio entra por la revisión y el control de versiones.
3. 3Contenedores e imágenesdevopsEmpaquetar la aplicación de forma pequeña, reproducible y segura.
4. 4El ciclo de vida de la entregadevopsEl ciclo que vas a automatizar y los principios detrás.
5. 5Pipelines de CI que siguen siendo rápidosdevopsPipelines rápidos y confiables, claros cuando fallan.
6. 6Infraestructura como códigodevopsEntornos descritos en código y reproducibles.
7. 7Fundamentos de KubernetesdevopsEjecutar contenedores en un clúster con límites y verificaciones.
8. 8Estrategias de release y rollbackdevopsCanary, blue/green y flags: lanzar sin apostarlo todo.
9. 9Observabilidad: métricas, logs y tracesdevopsSaber qué hace el sistema y alertar sobre lo que importa.
10. 10Confiabilidad: SLOs, error budgets e incidentesdevopsSLOs, presupuesto de error y aprendizaje con cada falla.

Preparar, detectar, contener e investigar: el orden en que cada habilidad de defensa se apoya en la anterior.

1. 1El ciclo de vida de la respuesta a incidentesresponseEl ciclo, los roles y la severidad, antes de cualquier crisis.
2. 2Inteligencia de amenazasresponseQuién ataca, cómo, y con qué confianza lo sabemos.
3. 3Análisis de logs y construcción de una línea de tiemporesponseArmar la historia a partir de logs con tiempo limpio.
4. 4Threat huntingresponseBuscar, por hipótesis, lo que las alertas no detectaron.
5. 5Triaje, acotamiento del alcance y contenciónresponseDimensionar y contener sin destruir evidencia.
6. 6Playbook de respuesta a ransomwareresponseEl caso más difícil, tratado como crisis de negocio.
7. 7Fundamentos de forense digitalresponseRecolectar evidencia que nadie pueda cuestionar.
8. 8Fundamentos de análisis de malwareresponseHacer triage de un archivo sospechoso de forma segura y generar detección.

De lo que separa una prueba de un delito hasta el informe que se vuelve corrección.

1. 1Autorización, alcance y éticaoffsecAutorización, alcance y ética antes de cualquier paquete.
2. 2Metodología de pruebas de penetraciónoffsecFases y estándares que dan repetibilidad.
3. 3Reconocimiento y superficie de ataqueoffsecDescubrir lo que está expuesto, del lado de quien ataca y de quien defiende.
4. 4Pruebas de seguridad de web y APIoffsecDos cuentas y un proxy responden la mayor parte de las preguntas.
5. 5Rutas de ataque y escalada de privilegiosoffsecCómo se encadenan las debilidades pequeñas, y cómo cortarlas.
6. 6Ingeniería social y defensa contra phishingoffsecLa superficie humana y los controles que no dependen de la perfección.
7. 7Red team, purple team y emulación de adversariooffsecProbar si la defensa detecta a un adversario realista.
8. 8Reportar hallazgos y conducir la remediaciónoffsecEl informe es el producto: impacto, evidencia y corrección.

Riesgo, frameworks, evidencia, métricas y la conversación con la directiva.

1. 1Gestión de riesgos de seguridadgrcDecidir por riesgo, no por urgencia.
2. 2Marcos y estándares de seguridadgrcEl vocabulario común y cómo elegir y combinar.
3. 3Riesgo de terceros y de la cadena de suministrogrcLa superficie de ataque que no está en tus servidores.
4. 4Principios de arquitectura de seguridadgrcControles diseñados una vez, como estándar.
5. 5Cumplimiento en la práctica: controles, evidencias y auditoríasgrcEvidencia continua en lugar de la carrera previa a la auditoría.
6. 6Métricas de seguridad e informes para la direccióngrcResultados, no actividad.
7. 7Estrategia, hoja de ruta y presupuesto de seguridadgrcPrioridades, roadmap y presupuesto.
8. 8Comunicación de crisis y cultura de seguridadgrcQué decir en la crisis y la cultura que la antecede.