>_ HackLab Academy
Búho SOC

Wazuh: SIEM y XDR, de la instalación a la detección avanzada

Vigila, detecta y responde con un SIEM de verdad

El curso completo de Wazuh: instalación all-in-one, distribuida, Docker y offline; agentes, syslog e integraciones; decoders, reglas, listas CDB y correlación; FIM, SCA, vulnerabilidades y respuesta activa; API, indexador, dashboards y monitores; clúster, rendimiento, copias y endurecimiento. Con un motor de práctica que ejecuta tus decoders y reglas.

  • Avanzado
  • 44 lecciones
  • 64 laboratorios
  • 11 módulos
  • Certificado verificable
  • Acceso de por vida

Lo que harás

  • Preparas el servidor, instalas Wazuh y lo dejas seguro
  • Escribes tus propios decoders y reglas y los pruebas con logtest
  • Creas listas, correlación, dashboards y alertas, y resuelves incidentes

Lo que lograrás

  • Instalar Wazuh: all-in-one, distribuido, Docker y offline
  • Conectar agentes, syslog y APIs para recolectar eventos
  • Crear detecciones propias con decoders, reglas y listas CDB
  • Operar un SOC: FIM, SCA, vulnerabilidades, respuesta activa y monitores

¿Para quién es?

Ideal si quieres trabajar en un SOC: instalar, operar y escribir las detecciones de un SIEM de verdad. Recomendado con Linux y Fundamentos.

Así se practica

Ejemplo de un laboratorio del curso, en una terminal simulada y con corrección inmediata.

Práctica · Tu primera regla de detección
student@hacklab:~$ cat webapp.log | /var/ossec/bin/wazuh-logtest
**Phase 3: Completed filtering (rules).
id: '100101' level: '5'
description: 'webapp: login failed for user bob from 203.0.113.5.'
**Alert to be generated.

Temario completo

Módulo 1 · Primeros pasos: monta tu laboratorio Wazuh 4
  1. Qué es Wazuh y para qué sirve
  2. Antes de instalar: requisitos, puertos y preparación del host
  3. Instalación all-in-one con el asistente
  4. Después de instalar: contraseñas, firewall y copias
Módulo 2 · Cómo funciona por dentro y cómo planificar 3
  1. Arquitectura, flujo de datos y puertos
  2. Dimensionamiento: CPU, RAM, disco y retención
  3. Modelos de despliegue: cuál elegir
Módulo 3 · Instalación en otros escenarios 3
  1. Instalación distribuida: indexador, clúster de servidor y panel
  2. Wazuh con Docker: single-node y multi-node
  3. Instalación paso a paso y sin conexión (offline)
Módulo 4 · Agentes, logs y syslog 5
  1. Agentes: instalar, registrar y gestionar
  2. Grupos de agentes y configuración centralizada
  3. Recolección de logs: localfile, JSON, comandos y Windows
  4. Syslog: recibir eventos de dispositivos y reenviar alertas
  5. Integraciones: Slack, VirusTotal, la nube y más
Módulo 5 · Decoders: enseñar a Wazuh a leer tus logs 4
  1. El pipeline de análisis: del log a la alerta
  2. Decoders básicos: prematch, regex y order
  3. Decoders avanzados: padres e hijos, offsets, JSON y PCRE2
  4. Depurar decoders: los errores que todos cometemos
Módulo 6 · Reglas, correlación y listas CDB 5
  1. Anatomía de una regla: niveles, IDs, grupos y jerarquía
  2. Condiciones: match, regex, campos, IPs, listas y horarios
  3. Correlación: frecuencia, tiempo y secuencias
  4. Listas CDB: inteligencia de amenazas y listas de permitidos
  5. Ajuste (tuning): silenciar ruido, sobrescribir reglas y gobernarlas
Módulo 7 · Detección y respuesta: FIM, SCA, vulnerabilidades y respuesta activa 5
  1. Monitorización de integridad de archivos (FIM)
  2. Configuración segura (SCA) y detección de vulnerabilidades
  3. Respuesta activa: bloquear automáticamente (con cabeza)
  4. Casos de uso de detección y mapeo a MITRE ATT&CK
  5. Búsqueda de amenazas (threat hunting) con alertas, `jq` y el indexador
Módulo 8 · API REST, automatización e indexador 3
  1. La API REST de Wazuh: autenticación, consultas y RBAC
  2. Automatización con la API: scripts de vigilancia y pruebas de reglas
  3. El indexador: consultas, agregaciones y retención con ISM
Módulo 9 · Dashboards, monitores y notificaciones 4
  1. El panel: Threat Hunting, Discover y el lenguaje DQL
  2. Visualizaciones y dashboards: del dato a la decisión
  3. Monitores y alertas: avisar a las personas adecuadas
  4. Canales de notificación, informes y escalado
Módulo 10 · Producción: clúster, rendimiento, operación y seguridad 5
  1. Clúster de servidor, balanceo de agentes y alta disponibilidad
  2. Rendimiento y escalado: colas, descartes y cuellos de botella
  3. Resolución de problemas: del síntoma a la causa
  4. Copias de seguridad, actualizaciones y retención
  5. Seguridad de la propia plataforma: RBAC, certificados y SSO
Módulo 11 · Proyecto final y examen 3
  1. Caso técnico: fuerza bruta contra una fintech
  2. Proyecto final: la detección de una aplicación de pagos
  3. Examen final del curso

SIEM y monitorización de seguridadFundamentos de seguridadDespliegue y operación de plataformasAdministración de sistemasSeguridad defensivaAnálisis de texto y logsRedesAlertas, paneles y automatizaciónIngeniería de detecciónRespuesta a incidentesAutomatización con BashGobierno, riesgo y cumplimientoInformes profesionales

Preguntas frecuentes

¿Necesito experiencia previa?

Ideal si quieres trabajar en un SOC: instalar, operar y escribir las detecciones de un SIEM de verdad. Recomendado con Linux y Fundamentos.

¿Cuánto dura el acceso?

El pago es único y el acceso es de por vida.

¿Hay garantía?

Si en los primeros 7 días el curso no es para ti y llevas menos del 25 % hecho, te devolvemos el dinero.

¿Qué necesito para estudiar?

Solo un navegador. Los laboratorios son terminales simuladas: no instalas nada ni arriesgas tu equipo.

Empieza hoy

120.000 96.000 COP Lanzamiento −20% hasta el 15 de noviembre

Garantía de 7 días

Comprar ahora Ver todos los cursos