¿Quieres aprender ciberseguridad de verdad, con prácticas reales, pero no sabes por dónde empezar ni quieres gastar dinero en cursos caros? ¿Te abruma la cantidad de información y no tienes claro qué estudiar primero? Estás en el lugar adecuado.
En este artículo encontrarás una ruta práctica y gratuita para estudiar ciberseguridad: qué bases técnicas necesitas, cómo montar tu propio laboratorio en casa, qué plataformas usar para practicar, y en qué orden avanzar para no perderte por el camino.
Qué necesitas saber antes de empezar con ciberseguridad
La ciberseguridad no se aprende solo leyendo teoría ni memorizando comandos. Para progresar de forma práctica necesitas construir una base técnica mínima. No hace falta ser ingeniero, pero sí entender algunos conceptos clave.
Conocimientos básicos imprescindibles
Antes de lanzarte a hacer hacking ético o análisis de malware, asegúrate de entender al menos lo siguiente:
- Sistemas operativos: cómo funciona Windows y, sobre todo, Linux a nivel básico (archivos, usuarios, permisos, procesos, servicios).
- Redes: qué es una IP, puerto, protocolo, DNS, HTTP/HTTPS, TCP/UDP, concepto de router, firewall y VPN.
- Línea de comandos: familiaridad con la terminal de Linux (bash) y con PowerShell o CMD en Windows.
- Conceptos de seguridad: autenticación, autorización, criptografía básica (hash, cifrado simétrico/asimétrico), phishing, malware.
Recursos gratuitos para cubrir estas bases
Para construir estos fundamentos sin gastar dinero, puedes usar:
- Linux y línea de comandos:
- Linux Journey (linuxjourney.com): curso gratuito y muy didáctico desde cero.
- Ubuntu Tutorials y documentación oficial de distribuciones como Ubuntu o Debian.
- Redes básicas:
- Curso gratuito de redes de Cisco Networking Academy (versión "Introduction to Networks").
- Canales de YouTube especializados en redes (por ejemplo, explicaciones de modelo OSI, TCP/IP, subredes).
- Fundamentos de ciberseguridad:
- Introducciones gratuitas en plataformas como Coursera, edX u Open Security Training.
- Blogs de empresas de seguridad (Microsoft, Cisco, OWASP, etc.) con artículos introductorios.
No intentes dominarlo todo antes de practicar. Aprende lo suficiente para no perderte y ve avanzando en paralelo con ejercicios reales.
Cómo montar un laboratorio de ciberseguridad en casa gratis
Tu mejor aliado para aprender de forma práctica es tener tu propio laboratorio: un entorno aislado donde puedas practicar sin miedo a romper nada importante y sin cometer ilegalidades.
Usar máquinas virtuales para practicar con seguridad
La forma más sencilla y gratuita de crear un laboratorio es con máquinas virtuales (VM). Para ello:
- Instala un hipervisor gratuito:
- VirtualBox (Oracle): gratuito, multiplataforma y suficiente para empezar.
- VMware Workstation Player (uso personal): alternativa gratuita en muchos casos.
- Crea al menos dos máquinas virtuales:
- Una máquina "atacante" (por ejemplo, Kali Linux o Parrot OS para pentesting).
- Una o varias máquinas "víctima" (Windows, Linux u otras con vulnerabilidades deliberadas).
- Configura la red en modo interno o solo-anfitrión para que las máquinas se vean entre sí pero no tengan acceso directo a Internet (esto aumenta la seguridad del entorno).
Distribuciones gratuitas para practicar ciberseguridad
Hay sistemas operativos pensados específicamente para aprendizaje y prácticas de seguridad:
- Kali Linux: distribución centrada en herramientas de pentesting, forense y auditoría. Ideal para tener muchas herramientas preinstaladas.
- Parrot Security OS: alternativa a Kali, más ligera para algunos equipos, también enfocada en seguridad.
- REMnux: distro especializada en análisis de malware (ideal si te interesa la parte de ingeniería inversa y malware).
Descárgalas siempre desde los sitios oficiales para evitar versiones manipuladas.
Máquinas vulnerables legales para practicar
Para practicar explotación de vulnerabilidades necesitas sistemas vulnerables creados justamente para ese fin. Algunos recursos gratuitos son:
- Metasploitable: máquina virtual deliberadamente vulnerable, ideal para aprender con Metasploit y otras herramientas.
- VulnHub: repositorio de máquinas vulnerables gratuitas que puedes descargar y ejecutar en tu laboratorio.
- OWASP Broken Web Applications: colección de aplicaciones web vulnerables para practicar OWASP Top 10.
- Damn Vulnerable Web Application (DVWA): aplicación web vulnerable que puedes instalar en una VM para practicar ataques web.
Estas máquinas son legales siempre que las uses en tu entorno controlado y no en sistemas ajenos.
Ruta práctica para estudiar ciberseguridad con recursos gratis
Una vez que tienes las bases y el laboratorio, la clave es avanzar con una ruta estructurada. No necesitas abarcar todas las ramas a la vez; empieza por lo esencial.
Fase 1: fundamentos prácticos de Linux y redes
Mientras instalas y configuras tu laboratorio, aprovecha para practicar:
- Linux:
- Navega por el sistema de archivos con cd, ls, cp, mv, rm, mkdir.
- Gestiona usuarios y permisos con useradd, chmod, chown.
- Revisa procesos (ps, top) y servicios (systemctl).
- Redes:
- Comprueba conectividad con ping, traceroute o tracert.
- Analiza configuración de red: ip a, ifconfig (Linux), ipconfig (Windows).
- Prueba a montar una red interna entre tus VMs y verifica que se ven.
Todo esto lo puedes aprender con tutoriales gratuitos en blogs y canales de YouTube orientados a sysadmin y Linux.
Fase 2: plataformas gratuitas tipo "learning by doing"
Hay plataformas que combinan teoría breve con laboratorios prácticos guiados. Algunas con muchos contenidos gratuitos:
- TryHackMe:
- Ofrece rutas gratuitas como Introduction to Cyber Security, Pre Security o Complete Beginner.
- Laboratorios en el navegador: no necesitas un equipo potente ni configurar redes complejas.
- Ideal para empezar a usar herramientas sin miedo a romper nada.
- Hack The Box (HTB):
-
- Cuenta con HTB Academy, con módulos básicos gratuitos sobre Linux, redes y pentesting.
- Máquinas Starting Point gratuitas para practicar desde nivel principiante.
- PortSwigger Web Security Academy:
- Totalmente gratuito y enfocado a seguridad web.
- Laboratorios prácticos con diferentes niveles de dificultad.
- Excelente para entender vulnerabilidades OWASP Top 10 con ejemplos reales.
La idea es combinar estas plataformas con tu laboratorio local para repetir, investigar y profundizar por tu cuenta.
Fase 3: aprendizaje de seguridad web con recursos abiertos
La seguridad de aplicaciones web es una de las ramas más demandadas y donde hay más recursos gratuitos. Para aprender de forma práctica:
- OWASP Top 10: estudia las vulnerabilidades web más comunes (inyección, XSS, CSRF, etc.).
- Laboratorios prácticos:
- PortSwigger Web Security Academy: ejercicios guiados de cada tipo de vulnerabilidad.
- DVWA y otros proyectos como Juice Shop de OWASP, que puedes desplegar en tu laboratorio.
- Herramientas gratuitas:
- Burp Suite Community Edition para interceptar tráfico, modificar peticiones y analizar aplicaciones.
- Extensiones del navegador para revisar cabeceras, cookies y seguridad básica.
Un enfoque práctico es: lee una vulnerabilidad del OWASP Top 10, busca un laboratorio que la ilustre y repite el ataque siguiendo una guía. Luego intenta resolver ejercicios similares sin mirar la solución.
Fase 4: pentesting básico en tu laboratorio
Una vez domines conceptos básicos y algo de seguridad web, puedes dar el paso a un flujo típico de pentest dentro de tu laboratorio:
- Reconocimiento y escaneo:
- Utiliza nmap para descubrir hosts y puertos abiertos en tu red interna.
- Prueba escaneos de servicios (detectar versiones, SO, scripts NSE).
- Enumeración:
- Analiza servicios como SMB, FTP, SSH, HTTP.
- Usa herramientas específicas (por ejemplo, enum4linux para SMB, gobuster o dirb para directorios web).
- Explotación:
- Investiga vulnerabilidades conocidas del servicio (CVE) y prueba exploits en tu máquina vulnerable.
- Practica con Metasploit en Metasploitable para entender la lógica de explotación.
- Post-explotación:
- Eleva privilegios dentro de la máquina comprometida (técnicas de escalada de privilegios).
- Explora ficheros sensibles, usuarios y posibles caminos de movimiento lateral.
Documenta cada práctica como si fuera un informe: qué descubriste, qué comandos usaste y qué aprendiste. Este hábito te servirá para el mundo profesional.
Recursos gratuitos para aprender defensiva, blue team y analítica
La ciberseguridad no es solo atacar sistemas. También puedes especializarte en defensa (blue team), gestión de incidentes o análisis de logs.
Simular un entorno defensivo
Con tu laboratorio puedes practicar defensiva instalando y configurando:
- Herramientas de monitorización y logs:
- Sysmon en Windows para capturar eventos de sistema detallados.
- Recolección de logs con soluciones gratuitas tipo ELK Stack (Elasticsearch, Logstash, Kibana) o Wazuh.
- Honeypots y detección:
- Instala pequeños servicios deliberadamente expuestos dentro del laboratorio y genera ataques de prueba desde tu máquina atacante.
- Observa cómo aparecen esos eventos en los logs.
Aunque configurar todo un SIEM pueda ser avanzado, hay muchas guías paso a paso gratuitas en blogs y repositorios de GitHub para montar entornos de aprendizaje.
Formación gratuita orientada a blue team
Algunas fuentes para aprender defensiva sin coste:
- Microsoft Learn: módulos gratuitos sobre seguridad en Windows, Azure, identidad y respuesta a incidentes.
- CERTs nacionales y organismos públicos: suelen publicar guías, buenas prácticas y estudios de incidentes reales.
- Blogs de empresas de seguridad: análisis técnicos de ataques, reportes de amenazas y walkthroughs de detección.
Una práctica útil es leer informes de incidentes y tratar de replicar, en pequeño, las técnicas descritas dentro de tu laboratorio, para entender cómo se verían en los logs.
Retos CTF y plataformas de gamificación gratuitas
Los Capture The Flag (CTF) son competiciones o plataformas de retos que simulan situaciones reales de seguridad de forma lúdica. Son una manera muy eficaz de aplicar lo que aprendes.
CTF adecuados para principiantes
Para empezar, busca CTF enfocados a aprendizaje, no solo a competición:
- CTFs internos de TryHackMe y Hack The Box: muchos de sus laboratorios están diseñados como retos guiados.
- PicoCTF: orientado a estudiantes, con retos desde muy básicos y explicaciones claras.
- Root-Me: ofrece categorías variadas (web, criptografía, forense, redes) con dificultad gradual.
Ve categoría por categoría: primero retos muy básicos, leyendo soluciones oficiales o writeups de la comunidad cuando te bloquees, y luego vuelve a intentar retos similares sin mirar pistas.
Cómo organizar tu estudio práctico de ciberseguridad
Uno de los mayores errores al estudiar ciberseguridad es saltar de recurso en recurso sin una estrategia. Para sacarle partido a todos estos recursos gratuitos, diseña un plan sencillo pero consistente.
Ejemplo de plan semanal usando solo recursos gratis
Una posible organización si dispones de 7-10 horas a la semana podría ser:
- 2 horas: fundamentos
- Resumen de teoría (Linux, redes, OWASP, etc.).
- Lectura de blogs o módulos introductorios.
- 4 horas: práctica guiada
- 1-2 salas de TryHackMe o módulos de HTB Academy.
- 1 laboratorio de PortSwigger Web Security Academy.
- 2-4 horas: práctica autónoma en tu laboratorio
- Reproducir sin guía lo que hiciste en las plataformas.
- Probar nuevas máquinas vulnerables de VulnHub o Metasploitable.
- Documentar lo aprendido en un archivo o blog personal.
Lo importante no es cuántas horas estudias, sino la constancia y que siempre haya una parte práctica.
Cómo llevar un registro de tu progreso
Documentar es clave por dos motivos: consolidar conocimientos y crear un portafolio que puedas mostrar más adelante.
- Diario técnico:
- Usa un documento, un cuaderno o un repositorio en GitHub.
- Anota comandos, errores que encontraste y cómo los resolviste.
- Guarda capturas de pantalla de tus laboratorios (sin revelar datos sensibles).
- Writeups personales:
- Redacta resúmenes de cómo resolviste una máquina o un reto CTF.
- No copies soluciones: escríbelas con tus palabras para entender mejor el proceso.
Con el tiempo, este material demostrará tu experiencia práctica y te ayudará a repasar antes de entrevistas o certificaciones.
Buenas prácticas éticas y legales al aprender ciberseguridad
La ciberseguridad implica manejar técnicas que, mal usadas, pueden ser ilegales. Es fundamental que tu aprendizaje sea siempre ético.
Reglas básicas para practicar de forma segura y legal
- Solo ataques sobre entornos propios o autorizados:
- Tu laboratorio, plataformas como TryHackMe, HTB, CTFs oficiales.
- Nunca ataques sistemas, webs o redes reales sin permiso explícito y por escrito.
- Respeta las normas de cada plataforma:
- Lee las reglas de uso (ToS) antes de empezar.
- No compartas soluciones completas de retos activos si está prohibido.
- Protege tus propios datos y equipos:
- No ejecutes malware real en tu sistema principal.
- Utiliza snapshots de máquinas virtuales para volver atrás si algo sale mal.
Aprender ciberseguridad de forma ética no solo es una obligación legal, también es una exigencia profesional si quieres dedicarte a esto a largo plazo.
Cómo seguir avanzando: comunidades y certificaciones de bajo coste
Una vez tengas algo de experiencia práctica con estos recursos gratuitos, puedes seguir creciendo apoyándote en la comunidad y, si quieres, preparando certificaciones.
Participar en comunidades y aprender con otros
Algunas ideas para conectar con otras personas que están aprendiendo como tú:
- Unirte a comunidades de Discord, Telegram o foros especializados en ciberseguridad.
- Seguir a investigadores y profesionales en redes como LinkedIn o X para descubrir nuevos recursos.
- Participar en CTFs en equipo, aunque seas principiante; aprenderás mucho viendo cómo trabajan otros.
Compartir tus dudas y progresos te ayudará a mantener la motivación y descubrir nuevas técnicas y recursos sin coste.
Certificaciones y formación adicional cuando tu base sea sólida
Cuando hayas completado muchas prácticas y retos, podrás plantearte certificaciones o cursos de pago. Sin embargo, incluso entonces puedes aprovechar recursos gratuitos:
- Planes de estudio abiertos para certificaciones como CompTIA Security+, eJPT o similares, creados por la comunidad.
- Laboratorios adicionales que muchas empresas de formación ofrecen como material promocional gratuito.
Lo esencial es que llegues a ese punto con muchos ejercicios prácticos hechos, aprovechando todos los recursos gratuitos que has visto: laboratorios, máquinas vulnerables, CTFs y tu propio laboratorio casero.
