Ethical Hacking y Pentesting (Prep. CompTIA Security+)

Competencia laboral: Analizar los principios, los controles y los fundamentos criptográficos de la seguridad de la información para diferenciar el hacking ético autorizado de otras evaluaciones de seguridad y situar la preparación para CompTIA Security+ en el panorama de amenazas colombiano en situaciones reales o simuladas.

• Explicar la tríada de confidencialidad, integridad y disponibilidad, el no repudio, el modelo AAA y los principios de confianza cero (Zero Trust).
• Clasificar los controles de seguridad por categoría (técnicos, gerenciales, operativos y físicos) y por función (preventivos, detectivos, correctivos, disuasivos, compensatorios y directivos).
• Diferenciar el hacking ético, la prueba de penetración, el análisis de vulnerabilidades, la auditoría de seguridad y los ejercicios de red team, blue team y purple team.
• Interpretar los fundamentos de la criptografía aplicada: cifrado simétrico y asimétrico, hash, firma digital, certificados e infraestructura de clave pública (PKI).
• Examinar cómo la gestión de cambios protege la seguridad de los sistemas y evita incidentes por configuraciones no controladas.
• Relacionar las cifras de ciberataques en Colombia con la estructura, los dominios y los pesos del examen CompTIA Security+ SY0-701 y SY0-801.

Competencia laboral: Analizar actores de amenaza, vectores de ataque, vulnerabilidades e indicadores de actividad maliciosa con marcos como MITRE ATT&CK para caracterizar la exposición al riesgo de una organización en escenarios reales o simulados.

• Distinguir los actores de amenaza (estados, crimen organizado, hacktivistas, amenazas internas y TI en la sombra) según su motivación, recursos y nivel de sofisticación.
• Identificar los vectores de amenaza y la superficie de ataque de una organización: correo, mensajería, medios removibles, cadena de suministro y servicios expuestos a internet.
• Reconocer las técnicas de ingeniería social como phishing, vishing, smishing, suplantación de identidad y deepfakes generados con inteligencia artificial.
• Categorizar las vulnerabilidades de aplicaciones, sistemas operativos, hardware, nube, virtualización, dispositivos móviles y configuraciones inseguras.
• Interpretar indicadores de compromiso de malware, ataques de red, ataques a aplicaciones y ataques contra credenciales.
• Evaluar los riesgos de seguridad que introduce el uso de la inteligencia artificial: inyección de instrucciones, envenenamiento de datos y fuga de información.
• Utilizar MITRE ATT&CK y la Cyber Kill Chain para analizar el comportamiento de los adversarios con enfoque defensivo.

Competencia laboral: Formular el plan de una prueba de penetración autorizada con una metodología reconocida, alcance definido, autorización escrita y reglas de enfrentamiento que cumplan la Ley 1273 de 2009 y la Ley 1581 de 2012 en contextos organizacionales reales o simulados.

• Comparar las metodologías de pentesting PTES, NIST SP 800-115, OSSTMM y la Guía de Pruebas de Seguridad Web de OWASP (WSTG) para elegir la más adecuada.
• Explicar los delitos informáticos de la Ley 1273 de 2009 y el Convenio de Budapest (Ley 1928 de 2018) para trazar la frontera entre hacking ético y delito.
• Aplicar la Ley 1581 de 2012 de protección de datos personales al manejo de la información a la que accede el pentester durante la prueba.
• Redactar el contrato de servicios, el acuerdo de confidencialidad (NDA) y la carta de autorización escrita de una prueba de penetración.
• Definir el alcance de la prueba: activos incluidos y excluidos, ventanas de ejecución y modalidades de caja negra, gris y blanca.
• Elaborar las reglas de enfrentamiento (rules of engagement), el plan de comunicación, los criterios de detención y el manejo de riesgos operativos.

Competencia laboral: Evaluar los resultados del reconocimiento autorizado y del análisis de vulnerabilidades para priorizar los riesgos con CVSS v4.0, EPSS y el catálogo KEV en entornos de laboratorio propios o autorizados.

• Aplicar técnicas de reconocimiento pasivo e inteligencia de fuentes abiertas (OSINT) respetando el alcance autorizado y la privacidad de las personas.
• Explicar los principios del reconocimiento activo, el escaneo de redes y la enumeración de servicios en un laboratorio autorizado.
• Interpretar los resultados de escáneres de vulnerabilidades autenticados y no autenticados, y depurar falsos positivos y falsos negativos.
• Consultar fuentes de inteligencia de vulnerabilidades como CVE, NVD, CWE, el catálogo KEV de CISA y los boletines de seguridad de fabricantes.
• Calcular y priorizar la severidad de vulnerabilidades con CVSS v4.0, la probabilidad de explotación EPSS y el contexto del negocio.
• Construir un modelo de amenazas que oriente la selección de los vectores de prueba de mayor riesgo.

Competencia laboral: Analizar los riesgos de seguridad de aplicaciones web e interfaces de programación según OWASP Top 10:2025 para recomendar controles de desarrollo seguro y pruebas verificables en laboratorios autorizados.

• Describir las diez categorías del OWASP Top 10:2025 y los cambios frente a la edición 2021.
• Examinar las fallas de control de acceso y de autenticación en aplicaciones web y los controles que las previenen.
• Analizar el mecanismo de los ataques de inyección y del manejo inseguro de entradas, y las defensas recomendadas por OWASP.
• Evaluar los errores de configuración de seguridad y las fallas de la cadena de suministro de software en aplicaciones modernas.
• Revisar la seguridad de las API con el OWASP API Security Top 10 y sus riesgos de autorización a nivel de objeto y de función.
• Integrar pruebas SAST, DAST y de análisis de composición de software (SCA) en el ciclo de desarrollo seguro y en laboratorios autorizados.

Competencia laboral: Evaluar arquitecturas de red, nube, identidades y entornos inalámbricos para determinar debilidades y controles de mitigación dentro de los límites de una prueba de penetración autorizada en escenarios reales o simulados.

• Comparar las implicaciones de seguridad de las arquitecturas locales, en la nube, híbridas, de contenedores, IoT y de sistemas de control industrial.
• Verificar la segmentación de redes, los cortafuegos y los sistemas de detección y prevención de intrusiones (IDS/IPS) durante una prueba autorizada.
• Evaluar la gestión de identidades y accesos: autenticación multifactor, privilegio mínimo, cuentas privilegiadas (PAM) y federación de identidades.
• Analizar la seguridad de redes Wi-Fi y dispositivos móviles: protocolos WPA2 y WPA3, riesgos comunes y verificación de controles.
• Diagnosticar errores de configuración en la nube a partir del modelo de responsabilidad compartida.
• Justificar los límites de la validación controlada de vulnerabilidades, el movimiento lateral y la escalada de privilegios en una prueba autorizada, y cómo documentar la evidencia.

Competencia laboral: Elaborar informes de prueba de penetración y planes de remediación, monitoreo y respuesta a incidentes que conviertan los hallazgos técnicos en decisiones de gestión del riesgo en organizaciones reales o simuladas.

• Estructurar un informe de pentesting con resumen ejecutivo, metodología, hallazgos técnicos y evidencias.
• Redactar hallazgos con descripción, impacto, severidad, recomendación y referencias que entienda tanto la gerencia como el equipo técnico.
• Proponer planes de remediación con parches, mitigaciones, controles compensatorios y criterios de aceptación del riesgo.
• Planificar el retest para verificar el cierre efectivo de las vulnerabilidades reportadas.
• Explicar el monitoreo y la alerta de seguridad con SIEM, registros de eventos, automatización y orquestación (SOAR).
• Aplicar las fases de respuesta a incidentes y los fundamentos de investigación forense digital con cadena de custodia.
• Diseñar un programa continuo de gestión de vulnerabilidades con métricas como tiempo medio de remediación y cobertura de activos.

Competencia laboral: Auditar la alineación de las pruebas de seguridad con los marcos de gobierno, riesgo y cumplimiento, el marco institucional colombiano y los códigos de ética profesional para consolidar un programa de pentesting sostenible y la preparación para la certificación CompTIA Security+.

• Distinguir políticas, estándares, procedimientos y guías de seguridad, así como los roles y responsabilidades en el gobierno de la seguridad.
• Aplicar el análisis cualitativo y cuantitativo de riesgos, el apetito de riesgo y la evaluación de riesgos de terceros y proveedores.
• Relacionar las pruebas de penetración con NIST CSF 2.0 y con los controles 8.8, 8.29 y 8.34 de ISO/IEC 27001:2022.
• Identificar el marco institucional de seguridad digital en Colombia: CONPES 3995 de 2020, Decreto 338 de 2022, colCERT, CSIRT y Estrategia Nacional de Seguridad Digital.
• Evaluar programas de divulgación responsable de vulnerabilidades y de recompensas (bug bounty) según ISO/IEC 29147 e ISO/IEC 30111.
• Valorar los códigos de ética profesional del pentester y los programas de concientización en seguridad de la información.
• Planear la preparación del examen CompTIA Security+ con preguntas basadas en desempeño (PBQ), simulacros y un plan de estudio por dominios.