Caso práctico independiente · Consultor de Hacking Ético
Informe de hallazgos de un entorno ficticio autorizado
Una carta de alcance, la salida de un escaneo, capturas HTTP en texto y un informe de escáner con falsos positivos: redacta fichas, resumen y plan de corrección sin tocar ningún sistema.
- Librería Tinterillo Ejemplo, S. L. (ficticia)
- 6 entregables
- 6 criterios, niveles 0 a 3
- Datos 100 % ficticios
Tiempo estimado. Entre 3 y 4 horas. Es una estimación nuestra, todavía sin medir con personas.
Qué podrás demostrar
- Interpretar una carta de alcance e identificar lo que queda dentro, lo que queda fuera y lo que no está permitido.
- Ordenar evidencia con comando o petición, salida literal, fecha y hash, de forma que otra persona pueda reproducirla.
- Valorar la severidad con un vector CVSS recalculable y distinguirla del riesgo para el negocio.
- Descartar falsos positivos con una razón técnica y documentarlos como limitación del escáner.
- Comunicar a la dirección con un resumen de una página y un plan de corrección con retest.
El escenario
Librería Tinterillo Ejemplo, S. L. es una empresa ficticia con una tienda web. Su dirección firmó una carta de autorización para una prueba de seguridad de un entorno de laboratorio ficticio, entre el 14 y el 18 de septiembre de 2026, y un compañero ya ha hecho el trabajo de campo: te deja el escaneo de red, ocho capturas de petición y respuesta en texto y el informe automático de un escáner.
Tu trabajo es de consultor, no de atacante: interpretar el alcance, ordenar la evidencia, escribir tres fichas de hallazgo completas, decidir qué resultados del escáner no se sostienen y entregar a la dirección un resumen y un plan de corrección priorizado.
Este caso es defensivo y de papel. No necesitas laboratorio, no se pide ejecutar nada contra ningún sistema y el paquete no contiene cargas ni instrucciones de ataque. Todo lo que hay que saber está en los ficheros. Si algo del paquete incumple la carta de alcance, tu informe debe decirlo.
Reglas del caso
- Todo es ficticio: empresa, direcciones (192.0.2.0/24 y 203.0.113.0/24), dominios .example, software y cuentas.
- El paquete no contiene cargas útiles ni instrucciones de ataque, y no se pide ejecutar nada contra ningún sistema.
- Los identificadores CVE-2099-… son inventados; no existen en ninguna base de datos real.
Qué cursos conviene tener hechos
Usa marco legal y alcance (1), escaneo (5), priorización con CVSS, KEV y EPSS (6), seguridad web (7 y 8) e informes (12). Los dos talleres (el de montaje, curso 3, y el de práctica, curso 13) usan un laboratorio propio, pero aquí no hace falta.
Necesarios
- Curso 1 · Fundamentos de la seguridad ofensiva: marco legal, ética y metodología
- Curso 5 · Escaneo y enumeración de servicios
- Curso 6 · Análisis y priorización de vulnerabilidades
- Curso 7 · Seguridad web I: OWASP Top 10 en la práctica
- Curso 8 · Seguridad web II: APIs, sesiones, Burp Suite y lógica de negocio
- Curso 12 · Informes de pentest y comunicación de resultados
Recomendados
- Curso 2 · Laboratorio y base técnica: Linux, redes y Windows para el pentester
- Curso 4 · Fase de Reconocimiento en Red Team
Los cursos se abren desde su ficha, donde puedes crear una cuenta gratuita si aún no la tienes.
Materiales (ficheros ficticios)
Todo el paquete en un .zip, o los ficheros uno a uno. Descomprímelo en una carpeta vacía y lee primero LEEME.md. No contienen datos reales ni código que ejecutar.
- LEEME.mdEncargo, reglas del caso y lista de ficheros.
- plantilla-entrega.mdPlantilla vacía con la estructura de los seis entregables.
- alcance.txtCarta de autorización con alcance, ventana y límites.
- escaneo/red.nmapSalida normal del escaneo de servicios (Nmap, entorno ficticio).
- escaneo/red.gnmapMisma salida en formato grepable.
- escaneo/red.xmlMisma salida en XML.
- capturas/01-cabeceras-portada.txtPetición y respuesta de la portada.
- capturas/02-pedido-propio.txtConsulta de un pedido de la cuenta de prueba.
- capturas/03-pedido-ajeno.txtConsulta de otro número de pedido con la misma sesión.
- capturas/04-error-detallado.txtRespuesta de error con detalles internos.
- capturas/05-listado-directorio.txtListado de un directorio de la web.
- capturas/06-panel-admin.txtPantalla de acceso del panel de administración.
- capturas/07-control-tiempos.txtTres consultas de búsqueda con sus tiempos de respuesta.
- capturas/08-paquete-instalado.txtExtracto del paquete del servidor web aportado por el cliente.
- informe-escaner.csvOcho resultados del escáner automático.
- epss-kev-ficticio.csvTabla inventada de EPSS y KEV para identificadores ficticios.
- plantilla-hallazgo.mdPlantilla de ficha de hallazgo.
Qué tienes que entregar
Escribe tus entregables fuera de esta página (en un documento tuyo). Aquí solo marcas cuáles has terminado; la plantilla ya trae la estructura.
Qué activos están dentro y fuera, qué acciones no están permitidas y qué ocurre con lo que el paquete incluye pero no debería.
Formato: Una página
Qué debe contener
- Activos dentro del alcance
- Activos fuera del alcance
- Acciones y horarios no permitidos
- Incidencias sobre el alcance (si el paquete incluye algo fuera)
Tabla de servicios detectados con su evidencia literal y la fecha.
Formato: Tabla
Qué debe contener
- Activo y puerto
- Servicio y versión (literal de la salida)
- Fichero y línea de la evidencia
- Fecha de la evidencia
Título, activo, descripción, pasos de verificación sobre la evidencia, evidencia, impacto, severidad con vector CVSS y su cálculo, recomendación y cómo verificar el arreglo.
Formato: Una ficha por hallazgo (plantilla-hallazgo.md)
Qué debe contener
- Título y activo (con la cláusula del alcance que lo cubre)
- Descripción y evidencia literal
- Impacto y severidad con vector CVSS (indica 3.1 o 4.0) y cálculo
- Recomendación concreta y quién la hace
- Cómo verificar el arreglo (retest)
Una página para la dirección, sin jerga, con prioridad y la decisión que se le pide.
Formato: Una página
Qué debe contener
- Situación en tres frases
- Tres cosas que importan y por qué
- Decisión que se pide a la dirección
Orden, responsable sugerido y retest de cada acción, y la razón técnica por la que dos resultados del escáner no se sostienen.
Formato: Tabla
Qué debe contener
- Orden de corrección y motivo (severidad y riesgo para el negocio)
- Responsable sugerido y retest
- Dos resultados del escáner descartados, con razón técnica
- Limitación del escáner que explica cada descarte
SHA256SUMS de los ficheros de evidencia que citas en tu informe.
Formato: SHA256SUMS.txt
Qué debe contener
- Una línea por fichero: hash y nombre
- Comprobación con sha256sum -c (o Get-FileHash)
0 de 6 entregables marcados como terminados
Rúbrica y autoevaluación
Por cada criterio, marca el nivel más alto que puedas demostrar señalando en tu entrega la frase, la fila o el fichero que lo cumple. Si dudas entre dos niveles, marca el más bajo. Es una autoevaluación: nadie corrige tu trabajo.
Tu puntuación orientativa
Has valorado 0 de 6 criterios. Marca el resto para ver la valoración global.
Criterio de este caso: «sólido» desde 15 de 18 puntos y ningún criterio por debajo de 2; «en camino» desde 12 y sin ningún 0; los criterios eliminatorios deben estar al menos en 2. Es una orientación nuestra, no una nota: no hay corrección ni certificado asociado.
Tus marcas se guardan solo en este navegador (almacenamiento local). No se envían a ningún servidor.
Puntos de control para después de tu intento
No son la solución: son hechos objetivos que puedes comprobar en tu entrega. Ábrelos cuando hayas terminado; si los lees antes, pierdes parte del ejercicio.
Ya he hecho mi intento: mostrar los puntos de control
- Compara los activos del escaneo con la lista de la carta de alcance, y las fechas y horas de las capturas con la ventana autorizada: lo que quede fuera de alcance o fuera de ventana no puede aparecer como hallazgo y debe aparecer como incidencia sobre el alcance.
- Para recalcular un vector CVSS usa la calculadora oficial de FIRST y anota la versión (3.1 o 4.0). Dos personas con el mismo vector deben llegar a la misma puntuación.
- Los identificadores CVE del paquete (empiezan por CVE-2099) son inventados a propósito, y también sus datos de EPSS y KEV. No los busques en bases reales: no existen.
- Mira los tiempos de la captura 07: si la espera es la misma con cualquier valor de búsqueda, no demuestra que el valor llegue a una base de datos. Mira también las versiones de la captura 08 y compáralas con el aviso del escáner.
- Comprueba tu SHA256SUMS con sha256sum -c (Linux, macOS, Git Bash) o con Get-FileHash en PowerShell; debe dar OK en cada línea.
Cuándo necesitas supervisión
Este caso es un ejercicio con datos ficticios. Lo que aprendas aquí no te habilita para actuar sin revisión en un entorno real. Estos son los límites:
- Prueba de seguridad solo con autorización escrita que fije alcance, ventana horaria, contacto y límites. Este caso no requiere tocar ningún sistema, y no debes tocar ninguno que no sea tuyo o no tengas autorizado por escrito.
- Cualquier explotación, extracción de datos o prueba de denegación contra un cliente real requiere a un profesional con contrato, seguro y experiencia, y un plan de reversión acordado.
- Si en una prueba real aparecen datos personales o un posible incidente en curso, se detiene y se avisa al contacto de la carta antes de continuar.
- No publiques hallazgos de un cliente real sin su acuerdo y sin dar tiempo a corregirlos.
Apoyo para después de tu intento
El Taller de práctica (usa tu laboratorio de hacking ético) trabaja otros ejercicios con solución. Ábrelo cuando hayas entregado tu intento: sirve para practicar en tu propio laboratorio y comparar enfoques, no para copiar respuestas de este caso, que no tiene solución publicada. Lo que el taller resuelve está dentro del curso: los kits de /kits traen plantillas en blanco y datos de práctica, no las soluciones resueltas.
Curso 13 · Taller de práctica: usa tu laboratorio de hacking ético
Cuando termines: vuelve a la ruta, o repasa los cursos que te marquen los criterios más bajos.