Mi meta es crecer en SOC, DFIR e ingeniería de seguridad.
Construir, asegurar, defender.
En torno a esos tres verbos gira casi todo lo que hago. Vengo del despliegue en cloud y la administración de sistemas, así que primero aprendí a levantar infraestructura (arquitecturas de microservicios en AWS y Azure, bases de datos, caché, orquestación con Kubernetes) y a automatizarla con pipelines de CI/CD en GitHub y GitLab.
La especialización en ciberseguridad llevó esa práctica hacia el enfoque DevSecOps: meter los controles dentro del propio ciclo de desarrollo, con análisis de código, escaneo de dependencias y revisión de contenedores antes de que nada llegue a producción.
Después aprendí a defender lo que había construido.
He montado entornos de Blue Team completos: SIEM con Wazuh y sus reglas de detección, automatización de respuesta mediante SOAR, cortafuegos OPNsense, EDR y VPN, además de honeypots expuestos a internet. Venir de administrar sistemas me da ventaja aquí: cuando conoces el aspecto de una máquina sana, detectas mucho antes lo que se sale de la norma.
Pero lo que de verdad me engancha es lo que pasa después del ataque.
Mi honeypot recibe intentos de intrusión reales a diario, y cada uno deja un rastro que hay que reconstruir: por dónde entró, qué comandos ejecutó, qué descargó y hasta dónde llegó. Para eso me apoyo en el análisis de memoria y en el marco MITRE ATT&CK, que me permite clasificar cada movimiento según tácticas y técnicas conocidas.
Y lo que sale de ahí no se queda en el laboratorio: reporto las direcciones IP atacantes y subo las muestras de malware a las plataformas públicas de inteligencia de amenazas, incluidos varios binarios que ningún motor antivirus había registrado antes.
De hecho...
Hablemos de logros y números:
Datos acumulados desde mis honeypots y laboratorios propios, actualizados a agosto de 2026. Puedo detallar cualquiera de estas contribuciones si resulta de interés.
Esto es Dirtylands, un proyecto Cowrie + Dionaea cuya propuesta de valor es su rápido despliegue, cuenta con: comandos funcionales, un entorno realista, rigurosidad y madurez del proyecto. Además con plena capacidad de reportar cada evento vía Telegram y las maldades a sus respectivas plataformas y la observabilidad.
Traducido en 5 idiomas, español, francés, inglés, alemán y búlgaro.
Informe pericial sobre el lab "Sysinternals" de CyberDefenders.org. Imagen .E01 analizada con Autopsy y Registry Explorer, descarga por HTTP que suplanta a Microsoft, ejecución como SYSTEM, SHA-1 recuperado de Amcache, troyano Rozena, C2 y persistencia por servicio. Incluye cadena de custodia y conclusiones periciales.
Informe pericial sobre una muestra de tráfico de red (.PCAP) de un equipo infectado por Lumma Stealer. Análisis en Wireshark, identificación del host por DHCP y Kerberos, beaconing HTTP al C2, exfiltración de credenciales comprimidas y cinco dominios maliciosos verificados en VirusTotal. Incluye IoCs y cadena de custodia.
Informe pericial sobre un volcado de memoria RAM (.dmp) de un equipo comprometido por StrelaStealer. Análisis con Volatility 3: procesos huérfanos, cadena Living off the Land con PowerShell, carga fileless de una DLL vía WebDAV, conexión al C2 e inyección de código en Thunderbird para robar credenciales.
Práctica 1: Laboratorio de IAM con Keycloak sobre Docker y WSL. Flujos de OAuth 2.0 y OpenID Connect, anatomía de los tres tokens, PKCE, introspección, rotación y revocación. Incluye errores provocados a propósito, con la respuesta real del servidor.
Práctica 2: Servidor de recursos en FastAPI que valida tokens JWT emitidos por Keycloak contra su JWKS, comprobando firma, emisor, audiencia, caducidad y roles. Incluye seis tipos de fallo provocados a propósito, con la respuesta real de la API.
Práctica 3: federación de Active Directory en Keycloak vía LDAPS. El controlador de dominio corre en Hyper-V y Keycloak en Docker dentro de WSL2. Usuarios que solo existen en AD inician sesión con OIDC y sus atributos y grupos llegan al token. Incluye mapeadores, ciclo de vida y cuentas huérfanas.
Honeypot desplegado en Azure con port knocking dinámico mediante iptables y alertas en tiempo real por Telegram.
Pipeline DevSecOps completo en GitLab CI/CD que integra SonarQube, GitLeaks, Snyk y OWASP ZAP para analizar la calidad y la seguridad del código de principio a fin. El estado del pipeline se notifica en tiempo real y de forma automática por Discord.
Migración lift & shift a AWS (IaaS) de una aplicación web Java multicapa montada antes en local. Servidores Tomcat detrás de un Elastic Load Balancer con Auto Scaling, MariaDB, Memcached y RabbitMQ como servicios de backend, DNS privado en Route 53, artefactos desplegados desde S3 y accesos limitados con IAM.
Despliegue de un clúster de Kubernetes gestionado en AWS con EKS, empezando desde una cuenta recién creada. Recoge el refuerzo del acceso con usuarios de IAM y MFA, una alarma de facturación en CloudWatch, la VPC con sus subredes públicas, el grupo de nodos con los roles que necesita y los errores reales que fueron apareciendo por el camino.
Proyecto en el que hago el uso básico de Ansible, completando todos los módulos de Udemy. Además de que he tenido que enfrentarme al problema del escenario en el que se pierde las claves .pem de mi máquina EC2, y trato de resolverlo.
Este proyecto de GitHub forma parte del curso "DevOps Beginners to Advanced" de Udemy. El proyecto consiste en usar Vagrant, Nginx, Tomcat, RabbitMQ, Memcached y MySQL para construir un sitio web.
Este proyecto demuestra la creación de un pipeline CI/CD con servicios de AWS para gestionar, compilar y desplegar una aplicación web en AWS Elastic Beanstalk, integrando AWS CodePipeline, AWS CodeBuild y la conexión con una base de datos AWS RDS. Además, se usa Bitbucket como repositorio git del código fuente.
Este proyecto de GitHub forma parte del curso "DevOps Beginners to Advanced" de Udemy. Nuestro proyecto anterior de AWS desplegaba una webapp multicapa con Memcached, MySQL, Tomcat, RabbitMQ y un balanceador de carga. Ahora lo reconstruimos todo con servicios de AWS como ElastiCache, Amazon MQ, RDS y Beanstalk.
