Día 1: Configuración del laboratorio DFIR

Cómo preparé mi kit de herramientas y mi mentalidad para un reto de una semana de SOC y análisis forense digital DFIR

Mentalidad lista para rendir

La teoría tiene un límite de utilidad. El aprendizaje real ocurre cuando analizas paquetes, descifras entradas de registro y sigues pistas en una imagen de disco. Participar en un desafío práctico de SOC y DFIR de una semana fue la oportunidad perfecta para consolidar habilidades.

Lección clave Evitar perder tiempo solucionando instalaciones el primer día. Preparar con antelación todo el entorno técnico es esencial para mantener el impulso.

Objetivo del pre día cero eliminar barreras técnicas antes de empezar. Mi laboratorio debía ser un entorno donde la variable fuese mi habilidad, no mi configuración.

Elige tu SIEM el cerebro del SOC

Qué es un SIEM Un sistema de gestión de información y eventos de seguridad centraliza y correlaciona registros de servidores, redes y endpoints para detectar riesgos de forma eficiente.

Mi elección Splunk Enterprise versión gratuita. Su lenguaje de consulta SPL es un estándar en la industria, y dominarlo aporta mucho valor.

La versión gratuita procesa hasta 500 MB de datos diarios, suficiente para la mayoría de retos y un laboratorio personal, manteniendo funcionalidades completas.

Descarga de Splunk Enterprise

Paso 1 ve al sitio oficial de Splunk y localiza la página de descarga de Splunk Enterprise.

Paso 2 elige el paquete adecuado. Para un host Windows 10 o 11 selecciona el instalador MSI de Windows.

Crear cuenta

Para descargar la versión gratuita es necesario crear una cuenta, aceptar el acuerdo de licencia y proceder con la descarga.

Instalación de Splunk Enterprise

Ejecuta el instalador MSI descargado. El asistente es sencillo. Acepta la licencia y elige el directorio de instalación. El predeterminado suele ser C:\Program Files\Splunk.

Al completar, el instalador configura los servicios necesarios y Splunk queda ejecutándose como servicio en el equipo.

Primer acceso

Abre el navegador y visita https://localhost:8000. Inicia sesión con admin y la contraseña definida durante la instalación.

Universal Forwarder el recolector de datos

Qué es el Universal Forwarder UF es una versión ligera de Splunk que recoge datos de un equipo origen y los reenvía al servidor Splunk principal indexador.

Por qué lo necesito En un entorno real no analizas los registros en el servidor que los genera. Los envías a tu SIEM central. El UF es el agente que instalas en Windows, Linux y macOS para enviar datos a Splunk.

Es necesario para un lab básico En un único equipo puedes usar inputs locales de Splunk. Sin embargo, configurar un UF es recomendado para un laboratorio más realista y es una competencia profesional clave.

Panel de Splunk Enterprise

Una vez dentro, el panel te permite buscar, crear dashboards y gestionar fuentes de datos desde un único lugar.

Instalación y configuración conceptual del Universal Forwarder

Descarga del UF accede a la misma página de descargas de Splunk y elige Splunk Universal Forwarder para Windows.

Instalación del UF ejecuta el instalador en la máquina Windows que quieras monitorizar e indica a dónde debe enviar los datos durante el asistente de instalación normalmente la IP o nombre de tu indexador de Splunk.

Preparación del Forwarder

Si vas a integrarlo con un Splunk en la nube, crea la credencial correspondiente para el forwarder. No es la misma credencial de acceso a Splunk Web.

Configuración del UF paso crítico

Abre PowerShell o Símbolo del sistema como Administrador en el equipo donde instalaste el UF.

Cambia al directorio bin del UF por ejemplo cd C:\Program Files\SplunkUniversalForwarder\bin

Verifica que ves el ejecutable splunk.exe con un dir en el mismo directorio.

Instala un paquete de configuración del UF si es necesario con el comando splunk.exe install app ruta_al_paquete_por_ejemplo C:\Users\usuario\Desktop\splunkclouduf.spl

Reinicia el forwarder con .\splunk.exe restart

Comprueba el estado del servicio con .\splunk.exe status

Verificación de la ingesta y siguientes pasos

Cómo comprobar que funciona accede al Splunk principal en https://localhost:8000, entra en Search and Reporting y ejecuta la búsqueda index=* | head 100. Si devuelve eventos, el flujo de datos está funcionando.

Con esto tu laboratorio DFIR y SOC básico está listo. A partir de aquí puedes añadir datos de práctica, crear dashboards y alertas, e integrar otras herramientas forenses como Autopsy, Wireshark y Volatility.

Q2BSTUDIO tu aliado para ciberseguridad y analítica avanzada

En Q2BSTUDIO somos una empresa de desarrollo de software y aplicaciones a medida, especialistas en inteligencia artificial, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio y power bi, además de diseñar soluciones de ia para empresas con agentes IA integrados en tus sistemas. Si buscas reforzar tu postura de seguridad y montar un SOC moderno te acompañamos con servicios de evaluación, arquitectura y automatización. Conoce cómo protegemos activos críticos y realizamos pruebas de intrusión visitando nuestro servicio de ciberseguridad y pentesting. Si planeas desplegar tu SIEM o tus pipelines de datos en la nube, podemos ayudarte con arquitectura, coste y observabilidad en servicios cloud AWS y Azure.

Además, integramos inteligencia artificial en flujos de seguridad para detección y respuesta, y conectamos tus registros con cuadros de mando de power bi para ofrecer una visión ejecutiva en tiempo real. Nuestro enfoque combina software a medida y aplicaciones a medida con mejores prácticas de ciberseguridad para acelerar resultados y maximizar el retorno.

Palabras clave software a medida, aplicaciones a medida, inteligencia artificial, ciberseguridad, servicios cloud aws y azure, servicios inteligencia de negocio, ia para empresas, agentes IA, power bi.