Los dos oficios sobre el mismo sistema

Frente al servidor web de Salitre, el que ataca pregunta «¿qué versión corre y tiene un fallo conocido?». El que defiende pregunta «¿quedó en el registro alguien probando ese fallo?». No es que uno sepa más que el otro: es que cada oficio mira el mismo sistema buscando una cosa distinta. Entender las dos preguntas es lo que esta ruta te da, porque hasta que no las has hecho las dos no sabes cuál te gusta.

La trampa del principiante es creer que defender es «lo seguro» y atacar es «lo emocionante». En el trabajo real, el que defiende bien piensa como ataca, y el que ataca bien sabe qué rastro deja.

Cuando se dice «seguridad», se protegen tres cosas sobre un dato: que no lo vea quien no debe, que no lo cambie quien no debe, y que esté disponible cuando hace falta. En Salitre, la lista de rutas de carga es un dato: si un competidor la lee, es un problema de confidencialidad; si alguien la altera, de integridad; si el sistema que la sirve se cae, de disponibilidad. Atacar es amenazar una de las tres; defender es sostenerlas.

Esto no es teoría de examen: es el criterio que decide si un hallazgo importa. Un servicio caído una hora y una base de datos de clientes expuesta no son el mismo tamaño de problema, y saber por qué es parte del oficio.

Los dos oficios usan el mismo mapa: MITRE ATT&CK, un catálogo de las técnicas que usa quien ataca, con un código para cada una. El que ataca lo usa para saber qué probar; el que defiende, para saber qué buscar en los registros. Cuando en Salitre alguien escanea los puertos del servidor, eso es «escaneo activo» (T1595) tanto si lo haces tú como ejercicio guiado como si lo detecta el SIEM. El mismo nombre para la misma acción, mirada desde los dos lados.

Tener un idioma común es lo que permite que un informe de ataque y una regla de detección hablen de lo mismo. Sin él, cada equipo inventa su vocabulario y nadie se entiende.

Nadie nace sabiendo si le gusta más entrar o vigilar. Esta ruta te lleva por las dos mitades a propósito: harás una explotación guiada contra el servidor de Salitre y también leerás los registros que esa explotación deja, y dispararás una alerta en el SIEM. Al final no eliges a ciegas: eliges habiendo hecho las dos cosas. Esa es la decisión que abre la especialidad que viene después.

Elegir rama sin haber tocado las dos es como elegir carrera por el nombre. La ruta existe para que la elijas por la experiencia.

El criterio de los dos oficios no se aprueba leyendo: se aprueba viendo la misma técnica desde las dos sillas. Abre el laboratorio, lee la nota que cruza lo que la ofensiva ejerce con lo que la defensiva detecta, y baja hasta el código de sala que la cierra.