Curso de Wazuh: XDR y SIEM para Gestión de Seguridad para empresas

Instalación actualizada de Wazuh Server, Wazuh Indexer y Wazuh Dashboard mediante repositorios oficiales.

Comprensión de dependencias, certificados, usuarios internos y comunicación entre componentes.

Preparación de servidores Linux para operación segura y estable.

Diseño de naming, DNS interno y segmentación de red para entornos SIEM.

Configuración inicial del clúster de indexación.

Generación y despliegue de certificados TLS para todos los componentes.

Configuración segura de credenciales internas y usuarios administrativos.

Validación de servicios mediante APIs, systemd y health checks.

Identificación y resolución de errores frecuentes durante despliegue.

Ejercicio práctico: desplegar un entorno Wazuh completamente funcional desde cero.

Despliegue de stacks Wazuh mediante Docker Compose moderno.

Comprensión de redes Docker, volúmenes persistentes y gestión de secretos.

Adaptación de configuraciones para laboratorios locales y VPS cloud.

Gestión de certificados y credenciales en entornos containerizados.

Separación entre contenedores de indexación, dashboard y manager.

Persistencia de datos y estrategias de backup de volúmenes.

Ajuste de recursos y límites de memoria para OpenSearch/Wazuh Indexer.

Automatización de levantado y actualización del stack.

Hardening básico de entornos Docker para plataformas SIEM.

Ejercicio práctico: desplegar Wazuh completo en Docker sobre Linux.

Diseño de arquitecturas Wazuh altamente disponibles para empresas y MSSP.

Configuración de clústeres de Wazuh Server y sincronización entre nodos.

Escalado horizontal de Wazuh Indexer basado en OpenSearch.

Uso de balanceadores y reverse proxies seguros.

Gestión de alta disponibilidad para Dashboard y API.

Estrategias de retención y distribución de índices.

Ajuste de shards, réplicas y almacenamiento.

Diseño multi-site y disaster recovery.

Evaluación de cuellos de botella habituales en despliegues grandes.

Ejercicio práctico: construir arquitectura HA de referencia para SOC corporativo.

Instalación masiva de agentes mediante scripts, GPO, Ansible y automatización.

Configuración avanzada de grupos y políticas por tipo de sistema.

Gestión de inventario de endpoints y etiquetado lógico.

Configuración de monitorización específica para Windows Server, Active Directory y Linux crítico.

Uso de enrollment automático y autenticación segura de agentes.

Gestión de actualizaciones de agentes.

Configuración de buffering y tolerancia a desconexiones.

Ajuste de rendimiento de agentes en equipos sensibles.

Diagnóstico de conectividad y troubleshooting avanzado.

Ejercicio práctico: desplegar y gestionar agentes sobre laboratorio híbrido.

Configuración de ingesta de logs Windows Event Channel, Syslog, journald y archivos personalizados.

Normalización y parsing de eventos heterogéneos.

Diseño de pipelines de correlación efectivos.

Identificación de eventos de autenticación, privilegios, servicios y persistencia.

Creación de alertas basadas en secuencia temporal de eventos.

Gestión de ruido y reducción de falsos positivos.

Correlación entre múltiples endpoints y servidores.

Detección de comportamiento anómalo basado en patrones.

Uso de etiquetas MITRE ATT&CK en eventos.

Ejercicio práctico: crear reglas correlacionadas para detección lateral.

Configuración avanzada de Syscheck para monitorización de integridad.

Supervisión de binarios críticos, configuraciones y directorios sensibles.

Diferenciación entre cambios legítimos y sospechosos.

Configuración de alertas inteligentes por criticidad.

Ajuste de rendimiento y exclusiones necesarias.

Integración de FIM con workflows IR.

Uso de hashes y validación de integridad.

Monitorización de cambios en Active Directory y Linux.

Estrategias para evitar ruido excesivo en FIM.

Ejercicio práctico: detectar modificaciones maliciosas simuladas.

Activación y configuración del módulo moderno de detección de vulnerabilidades.

Comprensión del pipeline CVE y fuentes de vulnerabilidades.

Análisis de paquetes vulnerables en Linux, Windows y contenedores.

Priorización por criticidad y explotación conocida.

Correlación entre vulnerabilidades y activos críticos.

Creación de dashboards de exposición y remediación.

Integración con workflows de parcheo.

Gestión de excepciones y falsos positivos.

Automatización de reporting para equipos IT.

Ejercicio práctico: detectar y priorizar vulnerabilidades críticas reales.

Integración de IOC feeds externos en Wazuh.

Uso de VirusTotal, AbuseIPDB, AlienVault OTX y MISP.

Enriquecimiento automático de alertas.

Correlación entre eventos internos y amenazas conocidas.

Creación de workflows de enriquecimiento.

Gestión de reputación IP y dominios.

Automatización de consultas externas mediante integraciones.

Ajuste de límites API y control de costes.

Creación de pipelines TI reutilizables.

Ejercicio práctico: integrar múltiples fuentes TI en un laboratorio SOC.

Comprensión profunda del motor de reglas de Wazuh.

Creación de decoders personalizados para logs no soportados.

Uso avanzado de expresiones regulares y matching.

Diseño de reglas jerárquicas y correlacionadas.

Etiquetado MITRE ATT&CK y categorización.

Gestión de niveles de severidad y prioridades.

Optimización de reglas para reducir ruido.

Versionado y mantenimiento de reglas corporativas.

Testing y validación de reglas antes de producción.

Ejercicio práctico: desarrollar detecciones propias para amenazas reales.

Configuración de Active Response en Linux y Windows.

Automatización de bloqueos IP y cuarentenas.

Integración con firewalls y herramientas de respuesta.

Diseño de respuestas automáticas seguras y controladas.

Evitar automatizaciones destructivas o peligrosas.

Gestión de whitelists y excepciones.

Integración con Slack, Teams, email y webhooks.

Creación de playbooks básicos SOAR.

Auditoría y trazabilidad de respuestas automáticas.

Ejercicio práctico: bloquear automáticamente ataques de fuerza bruta.

Comprensión de tácticas, técnicas y procedimientos MITRE.

Mapeo de eventos Wazuh sobre ATT&CK.

Construcción de dashboards ATT&CK personalizados.

Detección de persistencia, credential access y lateral movement.

Correlación basada en cadenas de ataque.

Priorización de alertas según impacto MITRE.

Creación de métricas de cobertura defensiva.

Uso de ATT&CK para threat hunting.

Identificación de gaps defensivos.

Ejercicio práctico: simular una kill chain y detectarla con Wazuh.

Construcción de hipótesis de hunting sobre endpoints y red.

Identificación de comportamiento anómalo en logs.

Hunting de PowerShell, persistencia y movimientos laterales.

Uso de búsquedas avanzadas sobre índices.

Correlación entre eventos aparentemente aislados.

Creación de dashboards específicos para hunting.

Detección de living-off-the-land techniques.

Hunting sobre contenedores y cloud.

Gestión documental de hallazgos.

Ejercicio práctico: realizar una investigación completa de actividad sospechosa.

Integración de eventos IDS con Wazuh.

Parsing y correlación de logs Suricata.

Uso de Zeek para telemetría avanzada.

Creación de pipelines NIDS + HIDS combinados.

Detección de tráfico sospechoso correlacionado con endpoints.

Gestión de alertas de red de alta frecuencia.

Optimización de ingestión de eventos IDS.

Visualización de tráfico y amenazas.

Correlación entre red y host.

Ejercicio práctico: detectar C2 correlacionando Suricata y Wazuh.

Integración de logs Microsoft 365 y Azure.

Ingestión de eventos cloud sobre Wazuh.

Monitorización de IAM, privilegios y actividad sospechosa cloud.

Detección de configuraciones inseguras.

Integración con AWS CloudTrail y Security Hub.

Monitorización de servicios cloud híbridos.

Correlación entre cloud y endpoints.

Gestión de costes y volumen de logs cloud.

Construcción de dashboards híbridos.

Ejercicio práctico: detectar actividad sospechosa sobre cuentas cloud.

Monitorización de Kubernetes mediante Wazuh.

Ingestión de logs de contenedores Docker y Kubernetes.

Detección de comportamiento anómalo en pods.

Supervisión de imágenes vulnerables.

Integración con entornos DevSecOps.

Correlación entre workloads y nodos.

Monitorización de runtime security.

Gestión de eventos cloud-native.

Threat hunting sobre Kubernetes.

Ejercicio práctico: monitorizar un clúster Kubernetes vulnerable.

Uso de módulos compliance integrados en Wazuh.

Supervisión de controles CIS Benchmarks.

Configuración para PCI DSS, ISO 27001, GDPR y NIST.

Automatización de auditorías técnicas.

Generación de informes ejecutivos compliance.

Gestión de desviaciones y excepciones.

Integración compliance + vulnerabilidades.

Correlación entre incumplimientos y amenazas.

Exportación de evidencias para auditoría.

Ejercicio práctico: evaluar cumplimiento PCI DSS sobre laboratorio.

Construcción de dashboards personalizados en Wazuh Dashboard.

Diseño de vistas SOC por criticidad y activo.

Creación de paneles ejecutivos para dirección.

Visualización MITRE ATT&CK y threat hunting.

Uso de filtros avanzados y búsquedas complejas.

Dashboards específicos para compliance y vulnerabilidades.

Exportación y compartición de vistas.

Optimización de rendimiento del Dashboard.

Integración visual con Grafana y OpenSearch Dashboards.

Ejercicio práctico: construir dashboard SOC corporativo completo.

Uso de Wazuh API para automatización corporativa.

Autenticación y gestión segura de tokens.

Extracción automatizada de eventos y alertas.

Automatización de inventario y reporting.

Integración con scripts Python y PowerShell.

Construcción de workflows automáticos.

Gestión de agentes mediante API.

Automatización de respuestas y operaciones.

Integración con plataformas externas.

Ejercicio práctico: desarrollar automatización defensiva basada en API.

Integración con TheHive y Cortex.

Automatización de casos e incidentes.

Integración con Jira y ServiceNow.

Construcción de workflows SOC reales.

Gestión de tickets y escalado automático.

Integración con Slack y Microsoft Teams.

Orquestación de investigación y respuesta.

Correlación con plataformas SIEM externas.

Diseño de pipelines SOC híbridos.

Ejercicio práctico: automatizar ciclo completo de incidente.

Securización de Wazuh Server, Dashboard e Indexer.

Configuración TLS y gestión de certificados.

Segmentación de red y control de acceso.

Gestión RBAC y usuarios.

Protección frente a abuso del SIEM.

Hardening Linux para nodos críticos.

Gestión segura de backups y snapshots.

Monitorización del propio stack Wazuh.

Detección de degradación y ataques internos.

Ejercicio práctico: aplicar hardening completo sobre entorno Wazuh.

Ajuste JVM y memoria de Wazuh Indexer/OpenSearch.

Gestión de almacenamiento e índices.

Optimización de ingestión masiva.

Ajuste de reglas y reducción de ruido.

Estrategias de retención de logs.

Optimización de dashboards y consultas.

Balanceo de carga entre componentes.

Monitorización de consumo de recursos.

Gestión de crecimiento de infraestructura.

Ejercicio práctico: optimizar entorno con alto volumen de eventos.

Diseño de arquitecturas multi-cliente.

Separación lógica de tenants y clientes.

Gestión de visibilidad y permisos.

Dashboards por organización.

Automatización de onboarding de clientes.

Gestión centralizada de reglas y agentes.

Escalabilidad para MSSP.

Estrategias de facturación y métricas.

Seguridad entre tenants.

Ejercicio práctico: construir entorno Wazuh multi-tenant.

Integración de Wazuh en pipelines CI/CD.

Escaneo de configuración e infraestructura.

Detección de vulnerabilidades en despliegues.

Integración con GitLab CI y GitHub Actions.

Monitorización de runners y agentes.

Compliance automatizado en pipelines.

Correlación entre despliegues y alertas.

Seguridad de contenedores CI/CD.

Automatización de controles DevSecOps.

Ejercicio práctico: integrar Wazuh en pipeline GitOps.

Diseño de estrategia backup para Wazuh.

Backup de índices, configuraciones y certificados.

Restauración de nodos y recuperación parcial.

DRP para plataformas SOC.

Replicación y snapshots.

Validación periódica de recuperación.

Gestión de corrupción de índices.

Estrategias cloud híbridas de continuidad.

Automatización de backups.

Ejercicio práctico: recuperar entorno Wazuh tras fallo crítico.

Simulación de ataques fuerza bruta.

Simulación de ransomware y persistencia.

Detección de PowerShell malicioso.

Simulación de exfiltración y C2.

Investigación de eventos correlacionados.

Gestión del incidente extremo a extremo.

Automatización de contención.

Generación de informe IR.

Extracción de indicadores de compromiso.

Ejercicio práctico: Blue Team completo sobre laboratorio ofensivo.

Diseñar una arquitectura Wazuh empresarial completa y escalable.

Desplegar infraestructura segura con Wazuh Server, Indexer, Dashboard y agentes.

Integrar endpoints Windows, Linux, contenedores y cloud.

Configurar reglas, dashboards, threat intelligence y correlación avanzada.

Implementar Active Response y automatización SOC.

Integrar Suricata, VirusTotal y herramientas externas.

Construir cuadros de mando SOC y compliance.

Ejecutar simulaciones ofensivas y validar detección.

Optimizar rendimiento y asegurar continuidad operativa.

Presentar una plataforma SOC completa lista para operación real.