Lo que viene: BTL1 y eCPPT, defender y atacar lo mismo

Después de Security+ y del eJPT estuve un tiempo dándole vueltas a qué venía después. Tenía en la cabeza varias de Microsoft, alguna de cloud… y al final me he quedado con dos que a primera vista no pegan mucho: BTL1, que es pura defensa, y eCPPT, que es ataque. Os cuento por qué.

Primero BTL1

Blue Team Level 1, de Security Blue Team, es una certificación práctica de defensa. El examen dura 24 horas y te pone delante de un incidente que tienes que investigar con herramientas de verdad: análisis de phishing, forense, SIEM, threat intelligence y respuesta a incidentes.

La elijo primero porque es justo lo que he hecho en el trabajo, pero sin un temario detrás. En el SOC triaba alertas, más tarde me tocó investigar un compromiso en una web, limpiar webshells, revisar equipos tras unas alertas en Wazuh… Todo eso lo fui aprendiendo sobre la marcha. BTL1 me sirve para ordenarlo, rellenar los huecos que sé que tengo (la parte de forense, sobre todo) y tener una forma de demostrarlo que no sea “créeme, lo he hecho”.

Y hay otra cosa: Security+ me dio la teoría de la defensa, pero no la práctica. BTL1 es ese paso que me faltaba.

Después eCPPT

eCPPT, de INE, es el paso siguiente al eJPT en la parte ofensiva. El examen es completamente práctico y casi un tercio va de atacar Active Directory.

Y ahí está la gracia para mí. He pasado mucho tiempo administrando AD: GPO, cuentas, grupos, permisos… Lo conozco bastante bien desde dentro, pero nunca lo he atacado en serio. Quiero saber qué ve un atacante cuando entra en un dominio como los que he gestionado, qué deja rastro en los logs y qué no deja ninguno. Eso me hará mejor administrador y mejor defensor a la vez.

Por qué las dos

Porque lo que me interesa está en medio. No me veo solo montando sistemas ni solo mirando alertas. Me gusta entender cómo se construye algo, cómo se rompe y cómo se nota que lo están rompiendo. A eso lo llaman purple team, aunque a mí me vale con decir que quiero entender el cuadro completo.

Cómo lo voy a hacer

Sin fechas cerradas, que ya he aprendido que ponérmelas solo me agobia. El orden sí está claro: primero BTL1 y luego eCPPT. Y mientras estudio, la idea es ir subiendo cosas al blog y a GitHub, como reglas de detección para ataques a AD o guías de respuesta a incidentes, para que lo que aprenda no se quede solo en un examen.

Ya iré contando qué tal va.