Auditar los permisos de Microsoft 365 en una tarde
Auditoría básica de permisos de Microsoft 365 en unas horas: administradores, MFA, cuentas sin uso, consentimientos OAuth y reenvíos, con PowerShell de solo lectura.
Leer artículo → ← Volver al inicio
RSS
Divulgación técnica
Blog
Artículos sobre ciberseguridad, respuesta a incidentes y tecnología
Certificaciones para empezar como analista SOC: cuáles valen la pena
Security+, SC-200, CySA+ y BTL1: qué aporta cada certificación para un primer puesto en un SOC, cuáles dejar para después y qué pesa más que cualquier título.
Leer artículo →
Ransomware: qué hacer en las primeras 24 horas
Orden de actuación ante un ransomware: aislar, cortar el acceso, proteger las copias, preservar evidencias, notificar a la AEPD en 72 horas y recuperar desde copias limpias.
Leer artículo →
He hecho clic en un phishing: qué hacer ahora mismo
Qué hacer en los primeros minutos tras hacer clic en un phishing, según lo que pasó: solo clic, contraseña introducida, fichero abierto o datos bancarios. Y qué evitar.
Leer artículo →
Ciberseguridad para pymes en Barcelona y Badalona: 10 medidas para aplicar este mes
Diez medidas de ciberseguridad para una pyme con herramientas que ya pagas: MFA, copias de seguridad, bajas de cuentas, DMARC y un procedimiento contra el fraude.
Leer artículo →
Qué hace un analista SOC: un día de trabajo real y cómo empezar
Qué hace un analista SOC en su día a día: revisar alertas, investigar, contener y documentar. Niveles N1 a N3, herramientas, habilidades y cómo entrar sin experiencia.
Leer artículo →
NIS2 en España: qué se sabe en octubre de 2026
NIS2 debía estar transpuesta en octubre de 2024 y España sigue sin ley en el BOE. Qué está en vigor hoy, qué exigirá a las empresas y qué hacer ya.
Leer artículo →
Cuentas huérfanas: el fallo del ciclo joiner-mover-leaver
Cuentas activas de gente que se fue y permisos que se acumulan al cambiar de puesto. Qué es el ciclo joiner-mover-leaver, dónde falla y cómo revisarlo.
Leer artículo →
Acceso condicional en Microsoft 365: las políticas base
Seis políticas de acceso condicional de Entra ID que cubren casi todo el riesgo de identidad en Microsoft 365, y cómo activarlas sin dejar a nadie fuera.
Leer artículo →
Business Email Compromise: las señales en Microsoft 365
Un BEC casi nunca trae malware: trae un login raro, una regla de bandeja oculta y un cambio de cuenta bancaria. Qué buscar en los logs de Microsoft 365.
Leer artículo →
Secretos en repositorios: cómo se filtran y cómo evitarlo
Una clave de API subida a GitHub se explota en minutos y borrarla del commit no basta. Cómo se filtran, cómo frenarlos antes del push y qué hacer después.
Leer artículo →
Errores de configuración en cloud que más se repiten
Casi todas las brechas en cloud vienen de la configuración del cliente: buckets públicos, claves eternas, puertos abiertos y logs apagados. Qué revisar primero.
Leer artículo →
XDR, SIEM y EDR: en qué se diferencian en un SOC real
EDR vigila el endpoint, SIEM centraliza logs de cualquier fuente y XDR correlaciona varias capas de serie. Qué aporta cada uno al trabajo diario de un SOC.
Leer artículo →
Mínimo privilegio en Microsoft Entra ID, en la práctica
Demasiados administradores globales y roles permanentes. Cómo aplicar el mínimo privilegio en Microsoft Entra ID con roles específicos, PIM y cuentas break-glass.
Leer artículo →
SPF, DKIM y DMARC: cómo pasar de p=none a p=reject
Qué hacen SPF, DKIM y DMARC, por qué tantos dominios se quedan en p=none y cómo llegar a p=reject por fases sin perder correo legítimo.
Leer artículo →
MFA resistente a phishing: por qué el SMS ya no basta
El MFA por SMS o push se salta con phishing en tiempo real y fatiga de MFA. Qué métodos resisten de verdad el phishing y cómo migrar sin bloquear a nadie.
Leer artículo →
El desacuerdo entre clasificadores pierde contra algo mucho más simple
Media sobre 7.822 correos reales si el desacuerdo entre cuatro clasificadores sirve para decidir qué revisa antes un analista. Esperaba que sí. Los datos dicen que pierde claramente contra una señal más simple: la incertidumbre media del propio ensemble.
Leer artículo →
Lo que da tiempo a aprender construyendo un sensor de agua en 24 horas
Dewi App fue nuestro prototipo ganador en la 8a Hackathon TecnoCampus: un sensor físico de caudal conectado a una web de consumo de agua, montado entre cuatro personas en menos de un día. No es el tipo de proyecto que suelo publicar aquí, y por eso mismo vale la pena contar que se aprende en ese formato.
Leer artículo →
Revocar un token sin tener que derribar la sesión entera
BinCat es un SDK de Python para emitir, validar y revocar tokens Fernet y JWT con registro de auditoría, con un panel encima para hacerlo sin escribir código. La pregunta que lo motivó: por qué revocar un acceso obligaba tantas veces a cerrar la sesión completa.
Leer artículo →
Blue Team Hub: por qué quité el cristal esmerilado de mi propia herramienta
Siete herramientas de SOC gratuitas y del lado del cliente, más vigilancia en vivo del catálogo KEV integrada en la propia portada. Y la razón, nada esteticista, por la que acabé rediseñando el sitio entero en blanco y negro.
Leer artículo →
Vigilar el catálogo KEV de CISA sin tener un servidor encendido
kev-digest comprueba el catálogo CISA KEV cada tres horas, detecta que ha cambiado y publica el resultado, todo sobre GitHub Actions y sin una sola dependencia externa. Cómo está montado y por qué el guardián anti-encogimiento es la parte que de verdad importa.
Leer artículo →
Active Directory: los primeros diez cambios en cualquier dominio nuevo
Antes de tocar GPOs avanzadas, hay una lista corta que reviso siempre en un dominio de Active Directory nuevo. La mayoría llevan mal configuradas desde la instalación y nadie las vuelve a mirar.
Leer artículo →
De soporte técnico a SOC: lo que cambió no fue el puesto
El salto de dar soporte a más de 100 usuarios a triar alertas en un SOC no fue un cambio de título de un día para otro. Fue un cambio en la pregunta que me hacía delante de cada tarea repetitiva.
Leer artículo →
Hardening de FortiGate: lo que reviso antes de dar un despliegue por bueno
La configuración de fábrica de un FortiGate no está lista para producción solo porque bloquea tráfico por defecto. Esta es la lista que reviso siempre, y por qué la inspección SSL es la que más se pospone sin motivo.
Leer artículo →
Priorizar CVEs sin fiarse solo del CVSS
Un CVSS de 9.8 puede ser irrelevante y uno de 6.5 una emergencia. Cómo cruzo NVD, el catálogo KEV de CISA y la probabilidad de EPSS para decidir qué vulnerabilidad se parchea primero, y cómo lo automaticé para que no dependa de que yo me acuerde de mirarlo.
Leer artículo →
Automatizar el informe semanal del SOC con Python
El informe semanal era tres horas de copiar y pegar que salían iguales cada lunes. Al automatizarlo con Python, los problemas de verdad no fueron el código: fueron la paginación, las zonas horarias y qué pasa cuando el script falla en silencio.
Leer artículo →
Clasificar phishing en el navegador sin mandar la URL a ningún servidor
Las listas de navegación segura funcionan, pero implican contarle a alguien por dónde navegas. En NorthGate Browser estoy probando lo contrario: llevar un modelo ONNX pequeño al propio navegador para que la URL no salga nunca del equipo.
Leer artículo →
Triaje de alertas en un SOC: en qué orden mirar lo que salta
La severidad que trae una alerta no es su prioridad. Cómo ordeno la cola cuando hay más alertas que horas, las tres preguntas con las que abro cada uno y por qué un falso positivo recurrente es un fallo de la regla y no del analista.
Leer artículo →
Comprobar si una contraseña está filtrada sin enviársela a nadie
Have I Been Pwned tiene más de 800 millones de contraseñas filtradas. Se puede consultar esa base sin revelar cuál estás buscando, y el truco que lo hace posible se llama k-anonimato. Así lo implementé en Password Sentinel.
Leer artículo →