Y ahora qué

Merece la pena verlo junto, porque cuando se aprende de a poco no se nota lo que se acumuló.

Sabes mirar una máquina. Moverte por su sistema de archivos, leer permisos y entender qué significan, listar procesos y notar cuál no encaja, buscar dentro de registros con grep en vez de leerlos enteros.

Sabes mirar una red. Distinguir una dirección de un nombre, saber qué es un puerto y qué se pregunta al descubrirlos, leer una conversación paquete a paquete, y reconocer un latido regular saliendo hacia fuera.

Sabes mirar una aplicación web. Leer lo que contesta un servidor y no solo lo que dibuja, entender qué es una sesión y por qué su cookie importa, y ver por qué un dato del usuario metido en el sitio equivocado deja de ser un dato.

Sabes mirar los datos. Consultar una base, romper una consulta con una comilla y explicar por qué se rompió, distinguir codificar de cifrar de resumir, y preguntar por qué existe un dato antes de discutir cómo protegerlo.

Y sabes el método, que es lo que de verdad se queda: buscar lo que no encaja, preguntar qué contiene el fallo cuando la capa se caiga, contener antes de remediar, y escribir el hallazgo para que otra persona pueda arreglarlo.

Nada de eso es teoría que leíste. Lo hiciste con las manos, en catorce laboratorios.

Esta parte importa más que la anterior, porque la mayor parte del daño que hace alguien recién formado viene de no saber dónde está su límite.

No sabes explotar. Sabes reconocer que una consulta se rompe con una comilla. Convertir eso en extraer una base entera es otra habilidad, y es un curso completo por sí sola.

No sabes escalar privilegios de verdad. Encontraste un respaldo con permisos abiertos, que es el caso de manual. Los reales son sutiles y hay decenas de familias distintas.

No sabes analizar software dañino. Viste un proceso que no encajaba. Saber qué hace ese binario por dentro es una especialidad entera.

No sabes asegurar una red. Sabes qué es la segmentación y por qué importa. Diseñarla para una organización real es un trabajo de años.

Y no has tocado la nube, que es donde vive hoy la mayor parte de lo que se defiende.

Esto no es desánimo, y conviene entender por qué: lo que tienes es el mapa, no el territorio. El mapa es exactamente lo que hacía falta primero, porque sin él las herramientas se usan sin saber qué preguntan — que es lo que hace la mayoría, y por eso sus informes no sirven.

No hay un camino único, y elegirlo por lo que se paga mejor sale mal. Elígelo por qué sala se te pasó rápido.

Si te gustó el panel de monitoreo —mirar tráfico, notar lo que no encaja, cortar— eso es defensa. Es donde más se contrata, se entra antes, y el trabajo es de turnos y de detalle. Lo siguiente para ti son redes en serio y análisis de registros.

Si te gustó romper cosas —la comilla, el escaneo de rutas, cambiar el número en la dirección— eso es ofensiva. Se entra más tarde y casi siempre después de haber defendido. Lo siguiente son aplicaciones web a fondo y práctica en máquinas de laboratorio, muchas.

Si te gustó la terminal y la máquina por dentro, mira hacia administración de sistemas y nube. Es la base más sólida de todas, porque no se puede proteger lo que no se sabe operar.

Si te gustó escribir el informe —en serio, a alguna gente le gusta— eso vale oro y es raro. Gobierno, cumplimiento, gestión de riesgo. Las organizaciones se pelean por quien sepa traducir un hallazgo técnico a una decisión.

Y una recomendación sobre el orden, que va contra lo que se ve en internet: empieza por defender. Se entra antes, se ve muchísimo más, y quien ha defendido ataca mejor porque sabe qué se ve desde el otro lado.

Tres cosas prácticas, y la tercera es la que casi nadie hace.

Practica en sitios donde esté permitido. Máquinas de laboratorio, entornos que montes tú, programas de recompensas con su alcance leído entero. Nunca en sistemas que no te autorizaron por escrito. La raya del módulo 1 no se mueve porque ya sepas más: se aplica más fuerte cuanto más sabes.

Monta tu propio laboratorio. Una máquina virtual en tu equipo, rómpela, arréglala, repite. Es gratis, y enseña más que cualquier vídeo porque los errores son tuyos.

Escribe lo que haces. Un cuaderno, un documento, lo que sea. Dos razones: escribir obliga a entender —te das cuenta de lo que no sabías cuando intentas explicarlo—, y a los seis meses tendrás algo que enseñar a alguien que contrata. Casi nadie hace esto, y por eso funciona tan bien.

Y para terminar, la idea que atraviesa las cuarenta y cinco salas, por si te llevas una sola cosa:

Casi ningún incidente grave empieza con algo sofisticado. Empieza con algo que estaba a la vista y que nadie miró.

Una página sin comprobar quién entra. Un respaldo con permisos abiertos. Una contraseña repetida en tres sitios. Un registro que nadie leyó.

Ya sabes mirar. Eso era lo difícil.