Plataformas de Práctica

Leer ayuda, pero en ciberseguridad necesitas practicar. puedes leer mil libros que si no abriste una terminal y tocaste cosas, no aprendiste nada.

Y esta bien. La práctica debe hacerse en entornos legales y controlados. Estas plataformas existen precisamente para eso: aprender sin tocar sistemas ajenos, sin poner en riesgo a terceros y sin meterte en problemas.

Como Elegir Plataforma

No todas sirven para lo mismo. elegir mal te puede frustrar y hacer pensar que esto no es para ti. Antes de elegir, pregúntate:

• ¿Quiero aprender desde cero?
• ¿Quiero practicar Blue Team?
• ¿Quiero seguridad web?
• ¿Quiero CTFs?
• ¿Quiero forense?
• ¿Quiero cloud?
• ¿Quiero algo guiado o algo más libre?

Elegir bien evita frustración.

TryHackMe

TryHackMe es una de las mejores plataformas para empezar. Si nunca hiciste nada de ciberseguridad, empieza aqui. No hay verguenza en usar las rueditas antes de andar en bici.

Tiene rutas guiadas, salas introductorias y explicaciones paso a paso. Es útil si todavía estás aprendiendo Linux, redes, web, Blue Team, herramientas básicas o metodología.

Su mayor ventaja es que no te deja completamente solo. Te acompaña.

Úsala para:

• Fundamentos.
• Linux básico.
• Redes básicas.
• Introducción a seguridad web.
• Blue Team inicial.
• SOC básico.
• Práctica guiada.

Cuida no depender siempre de pistas. La meta es usar la guía para construir base y después intentar retos con menos ayuda.

Hack The Box

Hack The Box es más retador. Y es normal. No es para principiantes.

Muchas máquinas no explican cada paso. Te obligan a enumerar, probar, equivocarte, leer, documentar y volver a intentar. Eso puede frustrar, pero también forma criterio.

Úsala cuando ya tengas algo de base en:

• Linux.
• Redes.
• Servicios comunes.
• Web.
• Enumeración.
• Privilege escalation.
• Metodología.

No pasa nada si al principio no resuelves mucho. Parte del aprendizaje es aguantar la incertidumbre.

PortSwigger Web Security Academy

PortSwigger Web Security Academy es excelente para seguridad web. Si te interesa ver como se rompen las aplicaciones web, este es tu lugar.

Tiene explicaciones y laboratorios sobre vulnerabilidades reales de aplicaciones: access control, XSS, SQL Injection, SSRF, CSRF, autenticación, lógica de negocio y más.

Úsala si te interesa:

• AppSec.
• Bug bounty.
• Pentesting web.
• OWASP Top 10.
• APIs.
• Burp Suite.

Es de las mejores formas de aprender web de manera legal y ordenada.

OverTheWire

OverTheWire es una plataforma clásica para aprender desde terminal. Si le tienes miedo a la terminal, empieza aqui. No hay forma más directa de agarrarle la mano.

Bandit, uno de sus retos más conocidos, ayuda a practicar Linux, archivos, permisos, comandos, conexiones SSH y pensamiento básico de CTF.

Úsala si quieres perderle miedo a:

• Terminal.
• SSH.
• Comandos Linux.
• Permisos.
• Archivos ocultos.
• Lectura de pistas.

Es simple, pero muy formativa.

picoCTF

picoCTF está pensado para principiantes y estudiantes.

Tiene retos de distintas categorías: web, criptografía, forense, reversing, binarios y misceláneos. Es una buena entrada al mundo CTF sin sentir que todo está diseñado para expertos.

Úsala si quieres:

• Probar muchas áreas.
• Aprender con retos cortos.
• Entender categorías CTF.
• Practicar sin presión.

CyberDefenders

CyberDefenders está más orientado a Blue Team.

En lugar de enfocarse solo en vulnerar máquinas, muchos retos tratan de investigar evidencia: logs, tráfico, archivos, memoria, incidentes y comportamiento sospechoso.

Úsala si te interesa:

• SOC.
• Análisis de logs.
• Forense.
• Malware básico.
• Threat hunting.
• Respuesta a incidentes.

Es buena para entrenar mentalidad defensiva.

Blue Team Labs

Blue Team Labs también se enfoca en práctica defensiva.

Puede ayudarte a trabajar casos de investigación, análisis de evidencia y escenarios más cercanos a tareas de un analista defensivo.

Úsala si quieres practicar:

• Alertas.
• Evidencia.
• Investigación.
• Reportes.
• Detección.
• Análisis defensivo.

OWASP WebGoat

OWASP WebGoat es una aplicación vulnerable creada para aprender.

Puedes instalarla en un entorno controlado y practicar fallas web comunes. Es útil para entender cómo se ven vulnerabilidades desde dentro de una app diseñada para enseñar.

Úsala si estás estudiando:

• OWASP Top 10.
• Validación de entrada.
• Autenticación.
• Autorización.
• Sesiones.
• Fallas web comunes.

VulnHub

VulnHub ofrece máquinas vulnerables descargables.

Normalmente las corres en tu propia máquina virtual. Es útil si quieres practicar en laboratorio local y entender cómo montar entornos.

Úsala si quieres:

• Practicar sin depender de una plataforma cloud.
• Aprender virtualización.
• Resolver máquinas vulnerables.
• Documentar writeups.

Docker Labs Locales

También puedes practicar creando tus propios laboratorios con Docker.

Esto es útil para entender cómo se despliegan apps, bases de datos, APIs y servicios. Puedes montar apps vulnerables, revisar logs, configurar redes y romper cosas sin afectar terceros.

Úsalo para:

• AppSec.
• APIs.
• Bases de datos.
• Logs.
• Contenedores.
• Redes internas.

Recomendación Por Ruta

Si no sabes por donde arrancar, aqui va un resumen rápido para que no te pierdas:

Si estas empezando:

• TryHackMe.
• OverTheWire.
• picoCTF.

Si quieres AppSec:

• PortSwigger Web Security Academy.
• OWASP WebGoat.
• Docker labs.

Si quieres Blue Team:

• CyberDefenders.
• Blue Team Labs.
• TryHackMe SOC.

Si quieres pentesting ético:

• TryHackMe.
• Hack The Box.
• VulnHub.

Regla de Seguridad

Práctica donde está permitido.

Una plataforma de práctica existe para que aprendas sin afectar a nadie. No lleves técnicas fuera de esos entornos sin permiso explícito.