Bienvenido/a

En primer lugar, es necesario comprender adecuadamente el término Hacking. El término Hacker se utilizó desde su origen para definir a "aquella persona que estudiaba en profundidad una tecnología, con el fin de conocerla de modo que pudiera modificarla y realizar tareas para las que no estaba pensada originalmente". Esta definición se adoptó en el ámbito informático, pero su significado ha ido variando, de tal manera que, actualmente, se suele utilizar el término hacking para definir a "el acceso no autorizado a sistemas ajenos con el propósito de ocasionar daños". La Real Academia Española (RAE) reconoce el término hacker (aunque lo redirige a "jáquer") en sus dos acepciones: "pirata informático" y "persona con grandes habilidades en el manejo de computadoras que investiga un sistema informático para avisar de los fallos y desarrollar técnicas de mejora".

Ethical Hacking

Para evitar la anterior connotación negativa se inventó este término para definir aquel hacking que no tiene propósitos dañinos, también denominado White Hat Hacking o Hacking Ético (afortunadamente, el término "jáquing" no se encuentra en el diccionario de la RAE). Estos términos se utilizan para definir a "la utilización de técnicas ofensivas para acceder a sistemas con la finalidad de detectar vulnerabilidades y reportarlas para que puedan ser solucionadas".

Tipos de Hackers

Es común identificar los distintos tipos de hackers según colores de sombreros. Al hablar del Ethical Hacking se introdujo el término white hat hacking. Como se puede deducir, un white hack hacker es aquel que lleva a cabo acciones de hacking debidamente autorizadas con el propósito de identificar vulnerabilidades.

Por el contrario, un black hat hacker es aquel que tiene propósitos maliciosos, cuyos fines consisten en obtener un beneficio personal o económico, o causar daños a una organización o persona.

Entre medias se encontrarían los denominados grey hat hackers. Como corresponde al color, hay muchos tonos de gris y bajo esta denominación caben unos cuantos tipos de personas. Por ejemplo, aquí entrarían aquellos que atacan a una organización para, a continuación, ponerse en contacto con ella y ofrecer sus servicios. También podrían entrar en este tipo aquellos que trabajan para un gobierno con el fin de obtener información sobre otros paises.

Diariamente se producen numerosos ciberataques; cuando alguno de ellos es detectado surgen varias preguntas: quién ha sido, cuando entró en los sistemas, qué ha hecho y qué se ha llevado, cuanto tiempo ha estado dentro y cómo consiguió acceder. Es probable que nunca se pueda identificar al atacante, y averiguar lo que ha hecho en el sistema puede requerir un proceso largo y costoso, pero lo que es aún más preocupante para muchas organizaciones es si podrá recuperarse de los daños y recuperar la información perdida. Sin embargo, si la organización hubiera identificado previamente el cómo y el qué, habría podido protegerse de una manera más adecuada y evitar el ataque o, al menos, aprender de sus vulnerabilidades para minimizar los daños.

El objetivo de la ciberseguridad es minimizar los riesgos, reduciendo las vulnerabilidades y bloqueando las amenazas, en un proceso continuo que va desde la detección de las vulnerabilidades hasta el análisis de los ataques recibidos, pasando por la monitorización en tiempo real de lo que sucede en los sistemas.

Principios de Seguridad de la Información

Cuando hablamos de la seguridad de la información nos referimos a las medidas para proteger la información sensible de una organización o persona. Aunque abarca también la información procesada o almacenada en sistemas no informático, es un concepto íntimamente relacionado con la ciberseguridad, puesto que, hoy en día, la mayor parte de la información se procesa o almacena en sistemas informáticos. 

Independientemente del propósito final del atacante, todos los ataques buscarán afectar al menos a una de las dimensiones básicas de la seguridad de la información o de los sistemas. Una correcta seguridad de la información consiste adoptar las medidas adecuadas para proteger estas dimensiones, lo que se traduce en un proceso continuo de actualización y mejora de las medidas de seguridad, basado en nuevas vulnerabilidades y amenazas.

Definiciones Básicas

Una amenaza es un agente que puede causar un daño. Algunas amenazas son "naturales", como inundaciones, incendios o terremotos; frente a ellas hay que tener una adecuada redundancia de los sistemas y una buena politica de backup. Otras tienen un origen más humano y pueden ser intencionadas o no intencionadas; entre estas amenazas se pueden encontrar Estados, organizaciones criminales, compañías rivales, empleados descontentos, o usuarios poco concienciados o descuidados. De manera resumida, la amenaza será el "atacante". 

Una vulnerabilidad es una debilidad o un fallo que se puede utilizar para causar un daño de manera voluntaria o involuntaria. Algunos tipos de vulnerabilidades son fallos en el desarrollo del Software o en el diseño del Hardware, un mal diseño de la arquitectura de los sistemas o malas configuraciones. 

El riesgo es la posibilidad de que una amenaza explote una vulnerabilidad. Una amenaza intentará materializar el riesgo mediante un ataque, para lo que utilizará un vector de ataque, que es el camino que sigue una amenaza para lograr sus fines. 

De estos tres conceptos se pueden encontrar múltiples definiciones diferentes, pero conviene diferenciarlas adecuadamente y acudir a fuentes fiables, puesto que es bastante común leer definiciones que mezclan los términos. Por ejemplo, es común leer que entre las amenazas se encuentran el "espionaje", el "beneficio económico" o el "phishing" , pero los dos primeros casos serian el propósito y el último seria el vector de ataque. 

Cuando se realiza un análisis de seguridad surgen los conceptos de caja negra, gris o blanca, referidos al grado de conocimiento que se tendrá previamente a la realización del mismo. Este conocimiento puede variar desde ser nulo (caja negra) hasta conocer toda la información de los sistemas (blanca), lo que incluye el esquema de red y, tal vez, disponer de un usuario interno con privilegios elevados. Entre medias está la caja gris, que es un conocimiento parcial que puede irse ampliando por parte de la organización según se haya acordado previamente.

Introducción

Cuando una persona se quiere introducir en el mundo de la ciberseguridad desde el punto de vista ofensivo, uno de los principales problemas que suele tener es encontrar la información necesaria para empezar, no por la falta de la misma, sino más bien justo por lo opuesto: existe un exceso de información que puede provocar frustración por empezar con aspectos demasiado complejos o por no estar estructurada.

Este blog tiene como único objetivo que todas aquellas personas que se quieren iniciar en el "hacking ético" comprendan los conceptos, las herramientas, tengan los recursos necesarios y conozcan la metodología que se debe seguir durante el proceso, se da por hecho que el lector dispone de conocimientos previos de Informática y Redes, que resultan muy necesarios para este mundo. Por ello, en este blog se parte del supuesto de que el lector sabe manejar con soltura Sistemas Operativos Linux y Windows y posee unos conocimientos básicos de Protocolos de Red y Fundamentos de programación, aunque esto no quiere decir que sea imprescindible conocer hasta el mínimo detalle todos los protocolos, ser un experto administrador de sistemas ni un programador avanzado. Se sobreentiende que la propia inquietud del lector interesado en la ciberseguridad le animará a profundizar en aquellos aspectos en los que detecte que deberá tener mayores conocimientos.

Antes de continuar explorando el contenido de este blog, te invito a leer el Descargo de Responsabilidad. Es importante entender que todo lo compartido en este blog tiene fines educativos y está orientado al uso responsable del conocimiento en Ciberseguridad.

¡Aprende, Experimenta y Respeta siempre el marco legal!

Con un lenguaje instructivo se introduce al lector de forma secuencial en esta disciplina donde la teoría esta acompañada de numerosos ejemplos prácticos, realizados sobre laboratorios controlados (CTF) que el propio lector puede crear. Para ello el blog se estructura de la siguiente forma:

  • Definiciones, conceptos y tipos de análisis.
  • Técnicas de reconocimiento y herramientas útiles para el mismo.
  • Fase de enumeración y técnicas de obtención de información.
  • Explotación de sistemas y obtención de acceso utilizando la información conseguida en la fase de enumeración.
  • Obtención de información del equipo y de la red interna para tomar el control total del sistema.
  • Test de la seguridad de las redes WIFI.
Con este blog aprenderás a descubrir vulnerabilidades atacando sistemas antes de que lo hagan los ciberdelincuentes. Si quieres empezar ahora, aquí tienes una lista de recursos utiles de ciberseguridad.

Para quienes va dirigido este blog

  • Estudiantes de ciberseguridad, hacking ético o informática (por ejemplo: Grados superiores de FP, Titulados Universitarios o Cursos Técnicos) que buscan aprender desde la base hasta prácticas reales.
  • Personas que está empezando en el hacking ético autodidactas o entusiastas que buscan una guía clara, ejemplos prácticos y comprensión teórica.
  • Participantes de CTF que buscan explicaciones paso a paso, herramientas técnicas y soluciones explicadas.
  • Profesionales junior y expertos con conocimientos de informática que quieren reforzar fundamentos, prácticas seguras y actualizar conocimientos.
  • Aficionados a la tecnología con curiosidad por la seguridad, incluso sin formación técnica formal, pero con ganas de aprender.
¿Cómo empezar en Ciberseguridad?
La ciberseguridad es un campo fascinante y gratificante que implica proteger los sistemas y datos digitales de ataques maliciosos. Si estás interesado en la ciberseguridad, es posible que te preguntes cómo puedes empezar a aprender sobre ella y qué habilidades necesitas para tener éxito.

Perfil de un buen hacker o ciberinvestigador
Los conocimientos que debe adquirir un hacker se sustentan sobre una base sólida de conocimientos básicos y avanzados del funcionamiento de los sistemas informáticos. Esto incluye materia o áreas como:

  • Arquitectura de computadoras y lenguaje ensamblador: Constituye la base del funcionamiento de los elementos hardware y software de los sistemas informáticos.
  • Redes de ordenadores y protocolos de red: Esto incluye las diferentes arquitecturas de red, los tipos de redes (cableadas, inalámbricas, fibra óptica...), los dispositivos que intervienen en las redes de comunicaciones, la capa de protocolos TCP/IP y OSI y los protocolos de encaminamiento.
  • Administración de sistemas operativos: Instalar y configurar sistemas operativos, tanto Windows como GNU/Linux, que incluyen elementos como políticas de seguridad, permisos y roles de usuarios y grupos, administración de servicios (DHCP, DNS, FTP, HTTP, SSH...), administración de dominios, gestión de cuotas, configuración de reglas de cortafuegos, etc...
  • Gestión y administración de bases de datos: Conocer los diferentes lenguajes de modelado de datos (SQL y noSQL), diferentes sistemas gestores de bases de datos (relacionales, orientados a objetos), su estructura y comandos de administración.
  • Lenguajes de programación: Es un área muy amplia que va desde lenguajes de bajo nivel (C, C++, Go, Rust), hasta lenguajes orientados a objetos (Java, C#), programación orientada a aplicaciones móviles (Android, iOS), tecnologías web (JavaScript, Jakarta EE framework, PHP, ASP, NodeJS), lenguajes de scripting (Python, Bash, PowerShell). La lista no es exhaustiva y puede ser que uno de los lenguajes o tecnologías encaje en más de una categoría.
  • Criptografía: Serán útiles los conocimientos desde dos perspectivas, los fundamentos matemáticos detrás de los algoritmos criptográficos y la aplicación práctica de técnicas criptográficas.

Acceso a la Ciberseguridad a través de FP

La Formación Profesional se ha convertido en una de las mejores opciones para acceder al sector con garantías de empleabilidad. Gracias a la colaboración entre instituciones educativas, administraciones públicas y empresas privadas, se han desarrollado programas formativos alineados con las necesidades del mercado, combinando formación teórica con prácticas en entornos laborales reales.

En España, para desarrollar una carrera en ciberseguridad, es fundamental contar con una base sólida en informática a través de estudios reglados como un ciclo formativo de Formación Profesional (FP), y combinarlo con formación autodidacta y práctica especializada.

El itinerario académico oficial más habitual comienza con la FP, donde existen varias opciones:

El Ciclo Oficial es solo una base. Es fundamental complementar la formación con aprendizaje autodidacta y cursos específicos, tales como:

  • Especialización en Ciberseguridad en Entornos de las Tecnologías de la Información (CETI): Es un curso de especialización dirigido a titulados de ciclos formativos superiores de Informática (tales como los mencionados anteriormente), también conocido como el "Máster de la FP", es ideal para quienes buscan una formación sólida, practica y orientada al mundo laboral. Si quieres trabajar en ciberseguridad como Experto en Ciberseguridad, Auditor de Ciberseguridad, Consultor de Ciberseguridad, Analista Forense Informatico/Perito Judicial (Según el Artículo 340 de la Ley de Enjuiciamiento Civil) y Hacker Ético esta es tu titulación. Esta especialidad tiene un plan de formación como:
    • Análisis Forense Informático: Técnicas para recopilar, preservar y analizar evidencia digital tras un incidente, buscando causas y culpables, con validez legal.
    • Bastionado de Redes y Sistemas: Fortalecimiento de sistemas y redes eliminando servicios innecesarios, configuraciones por defecto y aplicando parches para reducir la superficie de ataque.
    • Hacking Ético: Simulación de ataques maliciosos por profesionales (hackers éticos) para encontrar y corregir vulnerabilidades antes que atacantes reales, de forma legal.
    • Incidentes de Ciberseguridad: Gestión de eventos que comprometen la confidencialidad, integridad o disponibilidad de sistemas (ataques, malware, etc...), desde la detección hasta la recuperación.
    • Normativa de Ciberseguridad: Conjunto de leyes, regulaciones y estándares que obligan a cumplir buenas prácticas para proteger la información y sistemas.
    • Puesta en Producción Segura: Proceso para asegurar que nuevos sistemas o aplicaciones se implementen siguiendo las mejores prácticas de seguridad desde el diseño, evitando introducir vulnerabilidades.
  • Cursos online especializados en Ciberseguridad: En el mundo hispanohablante destaca Marcelo Vázquez, alias S4vitar, quien cada dia en su canal de Twitch realiza directos explicando técnicas de hacking o explotando alguna maquina. Ha trabajado como Pentester en empresas de ciberseguridad como Eleven Paths, OneCyber y EnigmaSec, actualmente dirige su propia empresa de ciberseguridad QUBIT TECHNOLOGIES desde la que ofrece auditorias y formación especializada a empresas. En abril de 2023 lanzo el curso Introducción al hacking ético en su academia online Hack4u con mas de 50 horas de contenido, tambien ofrece una hoja de ruta dinámica para profesionales y principiantes que buscan formación práctica y teórica.
  • Certificaciones reconocidas internacionalmente: Pueden ser muy útiles, aunque no imprescindibles de inicio.
  • Práctica con laboratorios de Hacking Ético: Retos CTF (Capture The Flag) y plataformas de simulación de ataques y defensa.

Acceso a la Ciberseguridad a través de la Universidad

La vía universitaria está orientada a quienes buscan una formación multidisciplinar más teórica y profunda, con proyección a puestos de trabajo de mayor responsabilidad o investigación.

Para acceder a estudios universitarios es necesario disponer de un título de Bachillerato y superar la evaluación pertinente (EBAU), o disponer de un título de FP superior, o de acceso universitario para mayores de 25 años.

Se puede cursar un grado universitario específicamente en ciberseguridad o en ingeniería informática / telecomunicaciones. Los grados dedicados en exclusiva a ciberseguridad incluyen contenidos como criptografía, protección de infraestructuras, análisis de malware, derecho y gestión de riesgos digitales.

Finalizado el grado, es posible especializarse aún más mediante másteres oficiales o cursos de postgrado, permitiendo acceder tanto a empleos técnicos avanzados como a labores de dirección, investigación y consultoría estratégica.

Conclusión entre FP y Universidad

Ambas rutas "FP y Universidad" conducen a competencias profesionales que responden a la alta demanda de la ciberseguridad en España. La FP destacada por su orientación práctica y rápida incorporación al mundo laboral, mientras que la universidad ofrece una base conceptual sólida y mayores posibilidades de progresión hacia puestos de mayor especialización o investigación. Elegir uno u otro camino dependerá del perfil, objetivos y preferencias de cada estudiante, sabiendo que ambos son altamente valorados por las empresas del entorno digital.

El INCIBE, pone a tu disposición tres catálogos formativos que te ayudarán a elegir la mejor opción para especializarte en ciberseguridad y acceder a un mercado laboral en pleno auge. Los catálogos se actualizan periódicamente con el objetivo de incorporar todos los programas formativos que cumplan los requisitos establecidos.

Si está empezando en el hacking ético como me imagino, mi consejo es que no se obsesione con esto, el aprendizaje es largo y lleva su tiempo adquirir los conocimientos suficientes. Tómese su tiempo para ganar experiencia.

Mantenerse bien informado
El mundo de la tecnología avanza a pasos agigantados, por lo que en un corto periodo de tiempo se suceden numerosas novedades. Lo mismo sucede en ciberseguridad; por tanto, es preciso mantenerse al día de todo lo que ocurre. Una forma de hacerlo es a través de blogs especializados, de los que se recomiendan los siguientes:

  • Una al día: La iniciativa de Hispasec nació hace más de 24 años y desde entonces no faltan a su cita diaria con una publicación relacionada con la seguridad informática.
  • Un informático en el lado del mal: El blog personal de Chema Alonso que es un referente en el mundo de la ciberseguridad.
  • Flu Proyect: Sitio web de Pablo González y Juan Antonio Calles donde encontrar noticias y artículos de investigaciones. Además, en él publican otros autores del panorama nacional.
  • Hackplayer: Otro sitio web de referencia en castellano donde las publicaciones son frecuentes y hay un gran número de colaboradores.
  • The hacker Way: Sitio web de Daniel Echeverri, alias Adastra, con numerosas publicaciones de gran calidad técnica.
  • Hacking Articles: Sitio en ingles, con publicaciones continuas de diferentes categorías, soluciones a retos CTF, utilización de herramientas, técnicas de hacking, red teaming, etc....
  • Google Project Zero: El blog del equipo de Google encargado de descubrimientos de vulnerabilidades zero day. Sus publicaciones suelen ser explicaciones técnicas de sus descubrimientos.
  • Ars Technica: La sección de tecnología es un lugar de referencia para mantenerse al día de las últimas novedades.
Las conferencias de seguridad que se organizan cada año son un punto de encuentro de hackers e investigadores que comparten sus nuevos descubrimientos, realizan talleres y demostraciones prácticas, sirven para formarse y mantenerse actualizados. Como no siempre es posible asistir a las charlas, algunas de ellas se publican libremente para consulta de todo el mundo y, en determinados casos, se emiten en directo en plataformas de streaming. Destacan las siguiente conferencias, dos de carácter internacional y el resto en España o Latinoamérica:
  • BlackHat: Una de las conferencias de referencia a nivel mundial donde se reúnen los mejores hackers del globo. Se realizan varios eventos anuales (BlackHat Asia, BlackHat USA, BlackHat Europe, etc...).
  • DEFCON: Esta conferencia que se realiza en Las Vegas cada año es uno de los principales eventos de hacking del planeta.
  • RootedCON: Posiblemente la conferencia de seguridad más importante del país que se celebra desde 2010.
  • Navaja Negra: Otra conferencia referente en España. Se viene celebrando desde 2012 en Albacete y se organiza por la Escuela Superior de Ingeniería Informática y la UCLM.
  • DragonJar: Esta conferencia de seguridad se organiza en Colombia y ofrece acceso online y gratuito
  • H-CON: Conferencia de ciberseguridad organizada por la gente de Hackplayers.
  • No cON Name: Una de las conferencias más antiguas de España, surgió en 1999 en las Islas Baleares como asociación sin ánimo de lucro.
  • Congreso C1b3rWall: Su primera edición tuvo lugar en 2019 y tras el parón obligado por la pandemia volvió a celebrarse en 2022. Se lleva a cabo en la sede de la Escuela Nacional de Policía en Ávila a finales de junio.
  • Jornadas STIC del CCN-CERT: Jornadas organizadas por el Centro Cristológico Nacional desde 2007 y que reúne a responsables de seguridad de las Administraciones públicas, empresas y experto en ciberseguridad. En la web de las diferentes ediciones se pueden encontrar los videos y materiales de las charlas que se han llevado a cabo.

No dudes en volver de vez en cuando para ver nuevos contenidos, pruebas de concepto y herramientas sobre ciberseguridad, Este blogs se irá actualizando progresivamente a medida que avance y adquiera nuevos conocimientos en el mundo del hacking ético. Mi objetivo es compartir lo que voy aprendiendo, desde lo mas básico hasta técnicas mas avanzadas.

¡Llevemos el aprendizaje más allá del blog!

Si te apasiona el pentesting y quieres un espacio para resolver dudas en tiempo real, compartir herramientas y conectar con otros entusiastas del sector, súmate a nuestro grupo de Telegram.

¡Por favor!, si encontráis algún error, ya sea técnico, conceptual o de redacción, no dudéis en poneros en contacto conmigo. Estoy siempre abierto a aprender, mejorar y corregir cualquier detalle que pueda aportar mayor calidad al contenido de este blog. Del mismo modo, si tenéis cualquier pregunta sobre mi formación o necesitas ayuda relacionada con ella, estaré encantado de ayudaros. ¡¡¡Gracias!!!.