Cómo empezar en ciberseguridad desde cero: fundamentos, laboratorios y ramas

Qué es la ciberseguridad en el trabajo diario

La imagen de alguien entrando a sistemas desde una pantalla negra es una parte mínima del oficio. La mayor parte del trabajo es entender cómo funciona un sistema lo bastante bien para saber dónde puede fallar: revisar configuraciones, leer registros, aplicar parches, diseñar permisos y responder cuando algo raro aparece. Por eso no se empieza por herramientas de ataque, sino por los fundamentos que esas herramientas dan por sabidos.

Como empresa que construye software y lo despliega en AWS, lo que más vemos fallar no son ataques sofisticados, sino errores básicos: credenciales subidas a repositorios, permisos demasiado amplios en la nube, puertos abiertos sin necesidad y dependencias sin actualizar. Quien entiende redes, Linux y cómo se despliega una aplicación detecta esos problemas antes de que alguien los aproveche.

Ruta por etapas y tiempo orientativo

Los tiempos suponen unas 8 horas por semana con práctica en laboratorio. Con menos horas, el plazo se alarga en proporción; si ya trabajas en soporte técnico, administración de sistemas o desarrollo, puedes recorrer las primeras etapas más rápido. Ten presente que llegar a un primer puesto en el área suele tomar bastante más que estos meses: los fundamentos te preparan para especializarte, no te convierten en especialista.

• Semanas 1 a 6: redes, modelo TCP/IP, direccionamiento, DNS, HTTP y captura de tráfico.
• Semanas 7 a 12: Linux desde la terminal, permisos, procesos, servicios y registros.
• Semanas 13 a 18: scripting con Bash y Python, y fundamentos de seguridad web.
• Semanas 19 a 30: una rama, defensiva u ofensiva, con laboratorios y escritos de cada práctica.

Fundamentos de redes

Casi todo ataque y casi toda defensa pasan por la red. Necesitas saber qué ocurre cuando escribes una dirección en el navegador: resolución DNS, conexión TCP, negociación TLS y petición HTTP. También cómo se reparten direcciones dentro de una red, qué hace un firewall y por qué un puerto abierto importa. Captura tu propio tráfico con Wireshark y sigue una conexión paso a paso hasta que cada paquete tenga sentido.

Esta etapa parece lenta porque todavía no “hackeas” nada, y es justo donde muchas personas se impacientan. Vale la pena: cuando más adelante una herramienta muestre un puerto abierto o una respuesta extraña de un servidor, vas a entender qué significa en lugar de copiar el siguiente comando de un tutorial. Si tu casa tiene un router, revisa su configuración y explica cada opción.

• Modelo TCP/IP y diferencia entre TCP y UDP.
• Direccionamiento IP, subredes y NAT.
• DNS, HTTP, HTTPS y cómo funciona un certificado.
• Puertos, servicios comunes y reglas de firewall.

Linux y scripting

La mayoría de servidores, herramientas de seguridad y laboratorios corren sobre Linux, así que la terminal tiene que volverse cómoda. Aprende a moverte por el sistema de archivos, entender permisos y usuarios, ver procesos y servicios, revisar registros en /var/log y filtrar texto con grep, awk y tuberías. Instala una distribución en una máquina virtual y úsala a diario durante unas semanas, aunque al principio vayas más lento.

Después, aprende a automatizar lo que repites. Bash sirve para encadenar comandos y revisar sistemas; Python, para parsear registros, consultar APIs o escribir herramientas pequeñas. No necesitas ser desarrollador, pero sí leer un script ajeno y entender qué hace antes de ejecutarlo, sobre todo si lo descargaste de internet. Muchas herramientas de seguridad son, en el fondo, scripts que alguien escribió para no repetir un trabajo.

Laboratorios propios y plataformas autorizadas

Toda práctica ofensiva se hace en entornos donde tienes permiso explícito. La opción más simple es un laboratorio propio: un programa de virtualización, una máquina atacante y una o varias máquinas vulnerables a propósito en una red aislada, sin conexión a tu red de casa. Proyectos libres como OWASP Juice Shop o DVWA son aplicaciones web hechas para practicar sin riesgo.

También hay plataformas de laboratorios y competencias de captura de bandera que ofrecen máquinas para atacar dentro de sus reglas. Lee esas reglas: autorizan sus máquinas, no otras. Al terminar cada ejercicio escribe un informe corto con qué encontraste, cómo lo encontraste y cómo se corrige. Esos escritos forman tu portafolio y te entrenan para la parte del trabajo que más se subestima: explicar un hallazgo a quien tiene que arreglarlo.

• Montar un servidor Linux con SSH y endurecerlo: llaves en lugar de contraseñas, firewall y actualizaciones automáticas.
• Instalar una aplicación vulnerable en tu laboratorio y documentar tres fallos del OWASP Top 10.
• Escribir un script en Python que detecte intentos repetidos de inicio de sesión fallidos en un registro.
• Capturar y explicar en un documento el tráfico de una visita a una página web.

Ramas: defensiva, ofensiva y las que quedan en medio

La rama defensiva, a menudo llamada blue team, se ocupa de monitorear, detectar y responder: centros de operaciones de seguridad, análisis de registros, respuesta a incidentes y endurecimiento de sistemas. La ofensiva, o red team, busca fallos antes que un atacante real mediante pruebas de penetración, siempre con autorización y un alcance definido. Las dos se necesitan, y quien entiende una mejora en la otra.

Hay ramas menos visibles con mucha demanda: seguridad en la nube, seguridad de aplicaciones para equipos de desarrollo y gobierno, riesgo y cumplimiento. Si vienes de programar, la seguridad de aplicaciones suele ser la entrada más natural. Si vienes de soporte o infraestructura, la defensiva aprovecha mejor lo que ya sabes.

Ética y legalidad

Probar técnicas de ataque sobre un sistema que no es tuyo y para el que no tienes permiso escrito es ilegal, aunque solo quieras “ver si funciona” y no causes daño. En Colombia, la Ley 1273 de 2009 tipifica como delito el acceso abusivo a un sistema informático, y casi todos los países tienen normas similares. Esto incluye la red del vecino, la plataforma de tu universidad y la página de una empresa.

En el trabajo profesional, toda prueba parte de un acuerdo que fija alcance, fechas y responsables. Los programas de recompensas por fallos funcionan igual: solo autorizan lo que su política incluye. Si encuentras algo por accidente, repórtalo por el canal que la organización indique y no lo explotes ni lo publiques.

Errores comunes y cómo elegir un curso

Un curso de ciberseguridad útil para empezar dedica sus primeros módulos a redes y Linux, no a herramientas de ataque. Revisa el temario completo, que esté actualizado, que incluya laboratorios guiados y que explique cómo montar tu entorno. Si está en inglés, confirma que tenga subtítulos en español. Desconfía de los que prometen convertirte en hacker en pocas semanas.

Ninguna herramienta reemplaza el criterio. Los escáneres automáticos reportan falsos positivos y pasan por alto fallos de lógica de negocio, y las certificaciones abren puertas en procesos de selección pero no prueban que sepas investigar un incidente real. Un curso tampoco reemplaza las horas de laboratorio. Estos son los errores que más frenan a quien empieza.

• Empezar por herramientas de ataque sin entender redes ni Linux.
• Practicar fuera de entornos autorizados.
• Ejecutar scripts descargados sin leerlos.
• Acumular certificados sin escribir informes de lo que practicaste.
• Querer cubrir todas las ramas a la vez.

Dónde están los cursos

Preguntas frecuentes

¿Se puede empezar en ciberseguridad sin experiencia en tecnología?

Sí, pero el camino es más largo porque primero tienes que aprender redes, Linux y algo de programación. Con unas 8 horas por semana, esos fundamentos toman entre 4 y 6 meses. Muchas personas entran al área después de un tiempo en soporte técnico o administración de sistemas.

¿Necesito saber programar para trabajar en ciberseguridad?

No a nivel de desarrollador, pero sí leer y escribir scripts en Bash o Python. Sirve para automatizar revisiones, analizar registros y entender qué hace una herramienta. En seguridad de aplicaciones, en cambio, programar bien es parte del trabajo.

¿Es legal practicar hacking ético en casa?

Es legal si practicas sobre tus propias máquinas o en plataformas que te autorizan expresamente. Atacar cualquier sistema ajeno sin permiso escrito es delito, aunque no causes daño. En Colombia lo establece la Ley 1273 de 2009, y la mayoría de países tienen normas similares.

¿Qué conviene más para empezar, la rama defensiva o la ofensiva?

Para la mayoría, la defensiva, porque hay más puestos de entrada y aprovecha lo aprendido en redes y Linux. La ofensiva atrae más, pero exige una base técnica más amplia. Lo que practiques en una te sirve en la otra.

¿Las certificaciones reemplazan la experiencia práctica?

No, aunque ayudan a pasar filtros en procesos de selección. Lo que más convence en una entrevista es mostrar laboratorios documentados e informes de lo que encontraste y cómo lo corregirías. Lo ideal es combinar una certificación de entrada con un portafolio propio.