reiderer
Hola, soy Juan Rodríguez
Administrador de sistemas · Analista de ciberseguridad · AD · Microsoft 365 · Wazuh · SIEM
Me dedico a que los entornos Microsoft funcionen y estén seguros: Active Directory, GPO, Entra ID, Intune y Microsoft 365. Y la otra mitad de mi tiempo la paso del lado de la detección, con SIEM, vulnerabilidades y respuesta. Aquí cuento lo que monto y lo que me encuentro por el camino.
Sobre mí
Soy Juan, administrador de sistemas con un pie metido en la ciberseguridad defensiva. Vengo de ASIR y donde más cómodo me siento es en el mundo Microsoft: Active Directory, GPO, Entra ID, Intune y Microsoft 365.
Empecé triando alertas en un SOC 24/7 y más tarde me tocó llevar la seguridad de un dominio de unos mil equipos con Wazuh, GLPI y GPO. De esa etapa me quedó algo claro: una alerta vale poco si no acaba en algo concreto, ya sea un parche desplegado, un ticket con alguien detrás o una regla que por fin deja de hacer ruido.
reiderer es mi cuaderno de bitácora. Aquí monto laboratorios lo más parecidos posible a un entorno real y apunto lo que aprendo. Ahora mismo estoy con BTL1, que es blue team muy práctico (phishing, forense, SIEM, respuesta a incidentes), y en paralelo le tengo echado el ojo a eCPPT. Un 30% de su examen es atacar Active Directory, y me apetece mucho ver desde el otro lado lo que llevo tiempo defendiendo.
Y si algo tengo claro es que esto no va de acumular herramientas ni dashboards. Va de entender bien lo que tienes delante y saber distinguir lo importante del ruido.
Casos & Labs
En cada tarjeta cuento qué problema había, qué hice y qué cambió. Los casos reales salen de trabajos en empresa y los cuento sin datos del cliente. Los labs son míos y tienen el código publicado.
Parcheo de navegadores en todo un dominio
ProblemaEl SIEM detecta un CVE crítico de Chrome en buena parte del parque, sin un mecanismo central de actualización.
Plantillas ADMX oficiales de Chrome y Firefox, GPO de auto-actualización con piloto por grupo de seguridad y despliegue después a todo el dominio.
Resultado144 vulnerabilidades High cerradas en 3 horas durante el piloto.
Leer el caso →Alertas de Wazuh convertidas en tickets
ProblemaVulnerabilidades y hallazgos SCA se quedaban en el dashboard del SIEM sin dueño ni seguimiento.
Integración en Python con la API REST de GLPI: cuenta de servicio de mínimo privilegio, deduplicación y una regla propia para detectar software no autorizado.
ResultadoAlertas críticas, CVEs y fallos de SCA entran solos en la cola de soporte, sin duplicados.
Leer el caso →SSO con Keycloak en GLPI y Moodle
ProblemaCada aplicación interna con su propia contraseña y su propio ciclo de altas y bajas.
Autenticación OIDC con PKCE contra Keycloak, sin creación automática de cuentas, tras revisar el código del plugin antes de instalarlo.
Resultado3.600+ usuarios migrados en Moodle y SSO validado en tres instancias de GLPI.
Fuga de memoria en Xibo Player
ProblemaPantallas de cartelería digital que llegaban a 12-14 GB de RAM y a 100 °C de CPU hasta quedarse en negro.
Recompilación del reproductor (C++, GTK, GStreamer) en Ubuntu 24.04 y cambio de arquitectura: un único pipeline de vídeo por región en vez de uno por vídeo, con rollback y monitorización en Zabbix.
ResultadoMemoria estable en 42-48 MB y CPU de 95-105 °C a 61-63 °C en tres equipos.
Leer el caso →Despliegue de Microsoft 365 a escala
ProblemaIntegración de una empresa en un grupo internacional con un parque Windows heterogéneo.
Aprovisionamiento con Windows Autopilot, identidades en Entra ID y políticas de cumplimiento y seguridad de endpoint en Intune.
ResultadoMás de 230 endpoints migrados a Microsoft 365.
Microsoft Sentinel SOC Lab
Problema¿Cómo se detecta la persistencia en la identidad cloud antes de que se convierta en un incidente?
SIEM en Azure con conector de Entra ID, reglas analíticas en KQL mapeadas a MITRE ATT&CK, workbook de amenazas de identidad y playbook de notificación con Logic Apps.
ResultadoDetección de creación de cuentas (T1136.003) y asignación de roles (T1098.003) con incidente y respuesta automática.
Ver en GitHub →Wazuh SIEM Lab
Problema¿Qué ve realmente un SIEM cuando atacan un servidor vulnerable?
Wazuh monitorizando Metasploitable3 con Kali como atacante: reglas XML propias, detección de técnicas ATT&CK e integración con VirusTotal.
Resultado22 CVEs inventariados y priorizados por CVSS; ataques detectados y correlacionados.
Ver en GitHub →M365 Admin Toolkit
ProblemaAltas y bajas manuales en Microsoft 365: licencias olvidadas y sesiones que siguen vivas.
Módulo de PowerShell sobre Microsoft Graph para el ciclo de vida de usuarios e informes de MFA, licencias y cuentas inactivas, con -WhatIf en todo lo que toca cuentas.
ResultadoTests con Pester y CI en GitHub Actions con PSScriptAnalyzer.
Ver en GitHub →Infraestructura resiliente
ProblemaCómputo, observabilidad y protección del dato rara vez se aprenden juntos.
Homelab en Proxmox VE con OPNsense, Active Directory, Zabbix y copias con Veeam y Proxmox Backup Server, documentado por fases.
ResultadoHipervisor, firewall, dominio y DHCP operativos; falta el host Docker para cerrar la fase 2.
Ver en GitHub →Clúster de alta disponibilidad
ProblemaUn servicio web con base de datos que no puede caerse si cae un nodo.
Pacemaker y Corosync sobre Debian, MariaDB con ProxySQL y monitorización con Prometheus y Grafana.
ResultadoFailover automático entre nodos sin intervención manual.
Ver documentación →DarkHole: 1
Enumeración web, inyección SQL y escalada de privilegios mediante binarios SUID, con análisis de servicios internos.
Ver write-up →Psycho: 1
Enumeración exhaustiva, explotación de LFI, análisis de logs y escalada de privilegios mediante scripts con permisos especiales.
Ver write-up →Camino a eCPPT
Pentesting de Active Directory, post-explotación y movimiento lateral. Atacar el tipo de entorno que administro para entender qué dejan ver mis logs y qué no.
Blog
reiderer es, sobre todo, una bitácora. Aquí subo lo que aprendo, lo que monto y lo que pienso sobre sistemas y seguridad.
144 vulnerabilidades en 3 horas: parchear navegadores en todo un dominio con GPO
Wazuh se puso en rojo por un CVE crítico de Chrome en medio parque. Podía apagar el fuego con un script, pero preferí arreglar por qué se había encendido.
SistemasLa pantalla que se comía 14 GB de RAM: depurando Xibo Player en C++
Una pantalla de cartelería digital que se quedaba en negro cada pocas horas. Acabé leyendo el código en C++ del reproductor y la causa estaba ahí: un pipeline de vídeo por cada vídeo, y ninguno se liberaba.
Blue TeamDe la alerta al ticket: conectar Wazuh con GLPI
Wazuh detectaba bien, pero las alertas se morían en el dashboard. Así monté una integración para que las importantes acaben en GLPI con dueño, sin duplicados y con los permisos justos.
Blue TeamRespuesta a incidente: un webshell en WordPress y los dos que nadie había visto
El hosting avisó de un ataque y el plugin malicioso estaba donde decían. Lo interesante vino al seguir buscando: dos puertas traseras más, de hacía años.
Cómo trabajo
Da igual que esté montando un servidor o mirando una alerta, intento trabajar siempre igual. Primero entender, luego priorizar y dejarlo todo apuntado.
Entender antes de tocar
Antes de lanzar nada me gusta saber qué expone el sistema, cómo está montado y qué hay alrededor.
Pilotar antes de desplegar
Primero un grupo pequeño en el que pueda medir y, si va bien, el resto. Y si un cambio no se puede deshacer, no lo lanzo un viernes.
Priorizar, no acumular
No me obsesiona tener más reglas ni más fuentes. Prefiero tener menos y entenderlas bien.
De la alerta a la acción
Si nadie se encarga de una alerta, es ruido. Lo que me interesa es que termine en un ticket, en un parche o en una regla mejor afinada.
Documentar el proceso
Lo dejo todo apuntado para que otro pueda revisarlo, repetirlo o entenderlo sin tener que preguntarme.
Mínimo privilegio, también para mí
Cuentas de servicio con los permisos justos, contraseñas fuera del código y cada cambio con su rastro.
Experiencia
Certificaciones
Voy por una ruta purple team: primero la base de seguridad, luego algo de ataque y ahora toca la defensa práctica.
BTL1 Blue Team Level 1
Un examen práctico de 24 horas con análisis de phishing, forense, SIEM, threat intelligence y respuesta a incidentes. Mi siguiente paso.
eCPPT Certified Professional Penetration Tester
Examen 100% práctico, y casi un tercio va de atacar Active Directory. Justo el entorno que conozco desde dentro.
Ruta: Security+ → eJPTv2 → BTL1 → eCPPT. Lo de Microsoft 365, Entra ID e Intune lo he aprendido trabajando con ello en producción.
Recomendaciones
Desde el inicio de ASIR, Juan demostró mucho interés por la ciberseguridad. Siempre iba un paso más allá, formándose de manera autodidacta. Muy dinámico, con una actitud constante de superación.
Juan destacó por su interés y curiosidad en la ciberseguridad. Siempre formándose por su cuenta, buscando aprender más allá de clase. Muy proactivo y con ganas de mejorar constantemente.
Hablemos de sistemas y seguridad
reiderer es mi sitio para compartir lo que monto y lo que aprendo en sistemas y seguridad. Si quieres comentar un caso, proponer una colaboración o simplemente conectar, aquí me tienes.