Un laboratorio permite probar conceptos sin depender de sistemas de terceros. Puede ser sencillo: una máquina virtual de estudio, una aplicación vulnerable creada para formación y una red aislada. Lo más importante es definir los límites antes de empezar.
Esta guía muestra cómo montar ese entorno, aislarlo de verdad y registrar lo aprendido.
Define el objetivo
Elige una pregunta pequeña, como «¿dónde encuentro los registros de acceso?» o «¿cómo modifica la conexión una regla de firewall?». Saber qué quieres observar evita instalar herramientas sin propósito.
Este es el error más común al empezar: preparar una máquina llena de herramientas antes de tener una pregunta. El resultado es un entorno impresionante y un aprendizaje superficial. Una pregunta por sesión aporta más que diez herramientas instaladas.
Registra el estado inicial del entorno. Anota las versiones, la configuración de red y lo que esperas ver. Después de la prueba, compara el resultado con la hipótesis: la diferencia entre lo esperado y lo observado es donde ocurre el aprendizaje.
Aísla el entorno de verdad
Utiliza máquinas virtuales o contenedores de formación y mantén la red del laboratorio separada de los dispositivos que usas a diario.
El punto que provoca más accidentes es la configuración de red de la máquina virtual. Las opciones habituales no son equivalentes:
| Modo de red | El laboratorio alcanza | Recomendado para |
|---|---|---|
| Red interna | Solo VM conectadas a la misma red interna | Opción predeterminada para estudiar |
| Host-only | VM y el propio host; sin ruta externa por defecto | Cuando necesitas acceder al laboratorio desde el host |
| NAT | Salida por la red del host, que puede alcanzar internet y la red local | Descargas controladas, sin suponer aislamiento |
| Bridge | Toda tu red local | Evitar |
El modo bridge sitúa la máquina virtual en la misma red que tu impresora, tu router y las computadoras de casa. Un escaneo realizado allí deja de ser un ejercicio de laboratorio: alcanza equipos reales, posiblemente de otras personas.
La regla práctica: utiliza una red interna por defecto y habilita la salida solo cuando necesites descargar algo; después vuelve al aislamiento. NAT no garantiza el aislamiento de la red local: la conectividad depende de las rutas del host y de los controles de red. En modo host-only, el host también es accesible; no actives reenvío ni otra ruta externa sin evaluar su efecto. La tabla de modos de red de VirtualBox detalla estas diferencias. Comprueba la configuración antes de ejecutar cualquier escaneo o prueba y no supongas que un objetivo es tuyo solo porque respondió en la red.
Si el laboratorio necesita internet para actualizar paquetes, hazlo antes y después aíslalo. Un entorno deliberadamente vulnerable expuesto a internet es un problema real, no un ejercicio.
Crea snapshots u otra forma de restaurar el entorno. Así podrás repetir el ejercicio, investigar errores y empezar de nuevo sin arrastrar modificaciones antiguas. Toma el snapshot después de configurar y antes de empezar la prueba: es el punto al que querrás volver.
Qué montar primero
Un laboratorio inicial útil necesita poco:
- Un hipervisor: VirtualBox, UTM, Hyper-V o el que funcione bien en tu equipo.
- Una máquina objetivo, con una aplicación educativa deliberadamente vulnerable.
- Una máquina de trabajo, desde la que observas y pruebas.
- Una red aislada que conecte únicamente las dos.
Para el objetivo, elige proyectos creados para enseñar: OWASP WebGoat y Juice Shop se mantienen precisamente para eso, incluyen ejercicios guiados y no dejan dudas sobre la autorización. En muchos casos funcionan en un contenedor y evitan necesitar una segunda máquina virtual completa.
Las plataformas educativas en línea son una alternativa legítima cuando resulta difícil montar el entorno local. En ellas, el alcance autorizado es el que establece la plataforma: respetar sus reglas forma parte del ejercicio.
Documenta el experimento
Una nota útil registra objetivo, entorno, pasos, observaciones y conclusión. Incluye lo que no funcionó: es la parte que volverás a leer.
Un formato que se completa en pocos minutos:
Fecha / Objetivo (la pregunta)
Entorno: versiones, red, snapshot de origen
Hipótesis: qué espero observar
Qué hice: pasos, en orden
Qué observé: incluido lo inesperado
Conclusión: la respuesta a la pregunta
Pendiente: qué quedó sin respuestaEste historial ayuda a entender la causa de un resultado y evita convertir el estudio en una colección de comandos sin contexto. También es la materia prima de tu portafolio: un cuaderno de experimentos bien documentado constituye una prueba concreta de razonamiento.
Amplía poco a poco
Después de dominar un escenario pequeño, añade recopilación de registros, una segunda máquina o una aplicación de formación. Cada cambio debe tener una razón.
Una progresión que funciona:
- Primero: una aplicación vulnerable y el navegador. Observa las solicitudes.
- Después: añade recopilación de registros y busca, desde el lado defensivo, la actividad que generaste.
- A continuación: una segunda máquina para observar el tráfico entre hosts.
- Más adelante: un servicio de directorio o autenticación centralizada para estudiar identidad.
El segundo paso es el que más enseña y el que más se omite. Generar una actividad y después buscarla en los registros enseña a la vez ataque, defensa y las limitaciones de la telemetría.
Lista de comprobación antes de empezar
- confirma que todos los sistemas y datos te pertenecen o están autorizados para formación;
- describe el objetivo y el comportamiento esperado antes de abrir la herramienta;
- revisa la configuración de red y confirma el aislamiento;
- crea un punto de restauración y registra cómo volver al estado inicial;
- confirma que ningún objetivo ajeno al laboratorio responde en el intervalo que vas a probar;
- al terminar, anota lo observado, lo que falló y lo que se probará después.
Si no puedes explicar con seguridad una etapa o esta queda fuera del alcance del laboratorio, detente y vuelve al objetivo. Los límites claros forman parte de una práctica técnica madura.
Siguiente paso
Monta hoy el escenario mínimo —un hipervisor, un objetivo educativo y una red aislada— y responde a una sola pregunta, documentándola con el formato anterior. Un laboratorio pequeño que produce una nota clara vale más que un entorno elaborado sin registro.
Practica únicamente en sistemas propios, plataformas educativas o con autorización explícita. Un objetivo que responde en la red no es una invitación: el alcance autorizado es lo que separa el estudio del acceso indebido.
