Dirigido a:

Ingenieros de detección, analistas SOC, respondedores de incidentes, ingenieros de seguridad cloud y threat hunters responsables de entornos AWS que quieran pasar de leer sobre ataques en cloud a detectarlos e investigarlos hands-on.

Conocimientos previos:

• Comodidad leyendo y escribiendo políticas IAM, y razonando sobre lógica de evaluación de políticas
• Familiaridad con el modelo de eventos de Cloudtrail y arquitectura básica de servicios AWS
• Fluidez con AWS CLI y uso básico de Terraform
• Exposición previa a seguridad cloud, pentesting o respuesta a incidentes es útil pero no obligatoria

Infraestructura de Labs y Material Provisto

El instructor provee una cuenta de AWS, pre-aprovisionada con infraestructura objetivo, tooling de atacante y un stack de detección. Los estudiantes no necesitan cuenta propia de AWS y no incurren en costos. Los entornos de lab se destruyen al final de la capacitación.

Cada estudiante recibe un repositorio de GitHub con el toolkit completo, contenido de detección, playbooks de IR y una configuración Terraform para reconstruir el lab completo en su propio tenant de AWS después del curso.

Requisitos mínimos

• AWS CLI instalado y configurado
• Terraform instalado
• Git y una cuenta de GitHub para clonar los repositorios de labs
• Laptop con cliente SSH funcional y permisos de administrador para instalar herramientas

Agenda

Día 1 — Emulación de Adversarios: Generando la Timeline

Módulo 0 — Nivelación y Modelo de Amenaza (rápido)

• AWS Organizations y el problema del management plane
• Lógica de evaluación de políticas IAM y el modelo de eventos de Cloudtrail como fuente de verdad del defensor
• Cómo funciona el loop ataque → detección del curso

Módulo 1 — Acceso Inicial y Compromiso de Credenciales

• Obtención de credenciales desde misconfigurations comunes
• Enumeración IAM y mapeo de identidades desde la perspectiva del atacante

LAB Credential Gathering and enumeration.

Módulo 2 — Escalada de Privilegios y Movimiento Lateral

• Escalada de privilegios via políticas IAM y via roles IAM (role-chaining)
• Movimiento lateral con IAM
• Escalada de privilegios via exec a instancias y containers

LAB Encadena una ruta de escalada por política y por rol hasta acceso administrativo; lateral movement to compute.

Módulo 3 — Evasión de Defensas y Antiforense

• Puntos ciegos en el modelo de responsabilidad compartida
• Cómo funciona realmente el logging de Cloudtrail — y dónde puede degradarse
• Bypass y supresión de Guardduty
• Tampering de Cloudtrail sin ser detectado

LAB Degradá el logging y suprimí la detección, luego intentá hacer tampering sobre Cloudtrail — la actividad exacta que van a cazar mañana.

Módulo 4 — Persistencia

• Persistencia vía implante SSH
• Persistencia via técnicas living-off-the-land sobre identidades

LAB Plantá dos mecanismos de persistencia; terminá el día con una timeline completa de atacante auto-generada en tu cuenta.

Día 2 — Detección, Investigación y Respuesta: Reconstruyendo la Timeline

Módulo 5 — Fundamentos de Ingeniería de Detección

• Cloudtrail para logging de llamadas API y la cadena completa de ingesta
• Integración con SIEM y creación de casos de uso de detección
• Entendiendo el ingestión delay — por qué funciona la evasión basada en timing y cómo compensarla
• EventBridge para respuesta automatizada

LAB Escribí detecciones para la actividad de acceso inicial, escalada y movimiento lateral que generaste en los Módulos 1–2.

Módulo 6 — Detección de Evasión y Tampering

• Detección de supresión de Guardduty y gaps de cobertura
• Uso del digest de Cloudtrail para detectar tampering y pérdida de integridad de logs
• Señales de configuration drift y falla de controles (Config, Security Hub)

LAB Detectá y probá la actividad antiforense del Módulo 3 usando validación de digest-chain.

Módulo 7 — Respuesta a Incidentes y Forense en Cloud

• Construyendo una tabla de Athena para análisis de Cloudtrail cuando el SIEM falla
• Uso de Cloudtrail Event History para investigación
• Adquisición de imagen forense de instancias EC2
• Aislamiento de red de instancias AWS comprometidas
• Triage de malware de una muestra de infostealer TeamTNT

LAB Adquirí una imagen forense y aísla una instancia comprometida; reconstruir la intrusión con Athena y Event History.

Módulo 8 — Threat Hunting, Detección de Persistencia y Hardening

• Fundamentos de threat hunting en AWS
• Detección del implante SSH y persistencia living-off-the-land del Módulo 4
• Cerrando el loop: traduciendo hallazgos en hardening con Control Tower, SCPs, Guardduty, Config y Security Hub

LAB Cazá y probá ambos mecanismos de persistencia que plantaste el Día 1.

Ejercicio Final — Respuesta a Incidente en Vivo

• Un atacante scripteado ya corrió contra una cuenta fresca y comprometida. Trabajando contra el reloj, los estudiantes detectan, delimitan, contienen e investigan la intrusión.
• Puntuado por cobertura de detección y tiempo hasta contención — una condición de victoria concreta y defendible.
• Retrospectiva y cierre: qué se detectó, qué se perdió, y por qué.