# Caso práctico · Informe de hallazgos de un entorno ficticio autorizado

Ruta: Consultor de Hacking Ético. Empresa (ficticia): Librería Tinterillo Ejemplo, S. L.

## Antes de empezar

- Todo es ficticio: empresa, direcciones (192.0.2.0/24 y 203.0.113.0/24), dominios .example, software y cuentas.
- El paquete no contiene cargas útiles ni instrucciones de ataque, y no se pide ejecutar nada contra ningún sistema.
- Los identificadores CVE-2099-… son inventados; no existen en ninguna base de datos real.
- Es una autoevaluación: no hay corrección ni certificado asociado, y este caso no tiene solución publicada.

## Encargo

Librería Tinterillo Ejemplo, S. L. es una empresa ficticia con una tienda web. Su dirección firmó una carta de autorización para una prueba de seguridad de un entorno de laboratorio ficticio, entre el 14 y el 18 de septiembre de 2026, y un compañero ya ha hecho el trabajo de campo: te deja el escaneo de red, ocho capturas de petición y respuesta en texto y el informe automático de un escáner.

Tu trabajo es de consultor, no de atacante: interpretar el alcance, ordenar la evidencia, escribir tres fichas de hallazgo completas, decidir qué resultados del escáner no se sostienen y entregar a la dirección un resumen y un plan de corrección priorizado.

Este caso es defensivo y de papel. No necesitas laboratorio, no se pide ejecutar nada contra ningún sistema y el paquete no contiene cargas ni instrucciones de ataque. Todo lo que hay que saber está en los ficheros. Si algo del paquete incumple la carta de alcance, tu informe debe decirlo.

## Qué hay que entregar

1. **Hoja de alcance interpretada.** Qué activos están dentro y fuera, qué acciones no están permitidas y qué ocurre con lo que el paquete incluye pero no debería. (Una página)
2. **Inventario de servicios con evidencia.** Tabla de servicios detectados con su evidencia literal y la fecha. (Tabla)
3. **Tres fichas de hallazgo completas.** Título, activo, descripción, pasos de verificación sobre la evidencia, evidencia, impacto, severidad con vector CVSS y su cálculo, recomendación y cómo verificar el arreglo. (Una ficha por hallazgo (plantilla-hallazgo.md))
4. **Resumen ejecutivo.** Una página para la dirección, sin jerga, con prioridad y la decisión que se le pide. (Una página)
5. **Plan de corrección priorizado.** Orden, responsable sugerido y retest de cada acción, y la razón técnica por la que dos resultados del escáner no se sostienen. (Tabla)
6. **Fichero de evidencias con hashes.** SHA256SUMS de los ficheros de evidencia que citas en tu informe. (SHA256SUMS.txt)

Usa `plantilla-entrega.md` como punto de partida.

## Ficheros de este paquete

| Fichero | Qué es |
|---|---|
| `LEEME.md` | Encargo, reglas del caso y lista de ficheros. |
| `plantilla-entrega.md` | Plantilla vacía con la estructura de los seis entregables. |
| `alcance.txt` | Carta de autorización con alcance, ventana y límites. |
| `escaneo/red.nmap` | Salida normal del escaneo de servicios (Nmap, entorno ficticio). |
| `escaneo/red.gnmap` | Misma salida en formato grepable. |
| `escaneo/red.xml` | Misma salida en XML. |
| `capturas/01-cabeceras-portada.txt` | Petición y respuesta de la portada. |
| `capturas/02-pedido-propio.txt` | Consulta de un pedido de la cuenta de prueba. |
| `capturas/03-pedido-ajeno.txt` | Consulta de otro número de pedido con la misma sesión. |
| `capturas/04-error-detallado.txt` | Respuesta de error con detalles internos. |
| `capturas/05-listado-directorio.txt` | Listado de un directorio de la web. |
| `capturas/06-panel-admin.txt` | Pantalla de acceso del panel de administración. |
| `capturas/07-control-tiempos.txt` | Tres consultas de búsqueda con sus tiempos de respuesta. |
| `capturas/08-paquete-instalado.txt` | Extracto del paquete del servidor web aportado por el cliente. |
| `informe-escaner.csv` | Ocho resultados del escáner automático. |
| `epss-kev-ficticio.csv` | Tabla inventada de EPSS y KEV para identificadores ficticios. |
| `plantilla-hallazgo.md` | Plantilla de ficha de hallazgo. |

Tiempo estimado: Entre 3 y 4 horas. Es una estimación nuestra, todavía sin medir con personas.

## Autoevaluación

La rúbrica con niveles de 0 a 3 y la autoevaluación guardada en tu navegador están en la página del caso (/rutas/ruta-consultor-hacking-etico/caso).