Fundamentos de Blue Team Día 1

Estos son apuntes del diplomado, con su contexto original. Al repasarlos, interesa conectar prevención, detección y respuesta; defender tampoco consiste en esperar frente al dashboard hasta que aparezca el boss. (ง •̀ω•́)ง

Apuntes parte del diplomado de fundamentos de Blue team de la USACH.

---

Introducción y contexto general

El blue team es un equipo de respuesta y defensa en la ciberseguridad defensiva Es responsable de la defensa activa de los sistemas. Sus funciones incluyen implementar medidas de seguridad, monitoreo de amenazas, respuesta a incidentes, investigación, etc.

Su ejecución es crucial para prevenir, detectar y responder y así mantener la integridad (y disponibilidad) de los sistemas.

Las amenazas evolucionan y el equipo debe revisar sus controles.

La defensa combina preparación, prevención, detección y respuesta; no es una transición universal en la que lo reactivo haya desaparecido.

---

Conceptos básicos de defensa

Defensa en profundidad

Múltiples capas de seguridad para proteger activos críticos.

Hay que implementar controles de seguridad en diferentes niveles como en la red, aplicación, datos, etc. de modo que, si una capa falla, otras puedan detener la amenaza

Por ejemplo los firewalls, antivirus, MFA, cifrado de datos, políticas de seguridad, etc.

NIST y SANS

Marcos de referencia y mejores prácticas.

NIST SP800 y Marco CSF-NIST Referencia del National Institute of Standards and Technology (EE.UU.) para la gestión de riesgos.

• El listado original de cinco funciones corresponde a CSF 1.1. En CSF 2.0 son seis; el marco organiza resultados y no obliga a una única implementación.
  • Gobernar
  • Identificar
  • Proteger
  • Detectar
  • Responder
  • Recuperar

SANS es una organización que ofrece formación y recursos de ciberseguridad. El enlace histórico a Cyber Aces se conserva como referencia del curso: https://www.cyberaces.org/. Su oferta y disponibilidad actuales no se han verificado.

Seguridad en capas

Es un enfoque que protege diferentes niveles de la infraestructura con controles específicos. Las más comunes:

• Físicas: control de acceso a servers
• Red: Firewalls y segmentación
• Aplicación: Autenticación y MFA
• Datos: Cifrado y backups etc

---

Roles y Funciones del Blue Team

Red, Blue & Purple Team

Red team simula ataques Blue team defiende los sistemas Purple teaming coordina aprendizaje y pruebas entre red y blue; no exige un equipo intermedio permanente

Blue team tiene los siguientes enfoques:

• Defensa proactiva
  • Parches, firewalls, monitoreos
  • threat hunting
• Defensa reactiva
  • responde a incidentes (contención, erradicación, recuperación)
• Evaluación de riesgos
  • Identifica y analiza posibles amenazas y vulnerabilidades
• Respuesta a incidentes
  • Sigue protocolos para mitigar y resolver brechas de seguridad (basados en frameworks como el NIST-CSF)

Roles blue team

Analista de Seguridad

Monitoreo y análisis de eventos de seguridad.

Utiliza:

• SIEM
  • Splunk, ELK Stack, QRadar
• Forense
  • EnCase, FTK, Autopsy
• Detección de Amenazas
  • Wireshark, Zeek/Bro

SysAdmin

Configura y mantiene seguros los sistemas y redes Aplica parches, gestiona firewalls, UAC, etc.

Utiliza:

• Evaluación de vulnerabilidades y configuración:
  • Nessus, OpenVAS
• Mantenimiento:
  • WSUS, Ansible
• Control de acceso
  • Active Directory, Okta

Especialista en respuesta a incidentes

Lidera la respuesta a brechas de seguridad, coordina mitigación y analisa los ataques.

Utiliza:

• Respuesta a incidentes
  • TheHive, Cortex
• Análisis de ataques
  • MITRE ATT&CK
• Coordinacion
  • 🤷‍♀️, Teams, slack, etc.

Ingeniero de seguridad

Diseña e implementa soluciones de seguridad, analiza vulnerabilidades, integra herramientas defensivas, etc.

Utiliza:

• Diseño de defensas
  • Palo Alto Networks, Cisco Firepower
• Análisis de vulnerabilidades
  • Qualys, Tenable.io
• Integración de herramientas
  • SOAR (Phantom, Demisto, etc)

---

Herramientas y técnicas de Blue team

• Herramientas SIEM, ELK, QRadar, etc

• EDR/XDR (Endpoint detection and Response / Extended Detection and Response) EDR protege endpoints XDR extiende dicha protección a redes, nube y crreo Por ejemplo Crowdstrike Falcon, SentinelOne, Microsoft Defender for Endpoint.

• Firewalls e IDS

• Análisis de logs y detección de amenazas

• Análisis y monitoreo como wireshark para detectar anomalías

Gestión de Incidentes y Respuesta

• Marco CSF-NIST
• El curso separó en seis pasos las actividades del ciclo clásico. Es un esquema didáctico; SP 800-61 Rev.2 agrupaba cuatro fases y Rev.3, de 2025, integra la respuesta con CSF 2.0:
  1. Preparación
     1. Desarrollo de planes y capacitación del equipo
  2. Detección y análisis
     1. Identificación de incidentes por monitoreo y análisis de indicadores de compromiso
  3. Contención
     1. Aislamiento del incidente
  4. Erradicación
     1. idem
  5. Recuperación
     1. Restablecimiento de sistemas y operaciones normales
  6. Lecciones aprendidas
     1. Documentación y mejora de procesos

---

Threat Intelligence y Análisis de Amenazas

Incorporar datos de amenazas (como IoC) en las defensas para mejorar la detección y respuesta. Por ejemplo ThreatConnect o MISP

MITRE ATT&CK

OSINT

Fuentes de actualización: NIST CSF 2.0 y SP 800-61 Rev.3. Los nombres comerciales se conservan en el contexto del apunte, no como catálogo actualizado de productos.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: ea00516ca2d2          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+