Defensive Security Intro

This room introduces the fundamentals of defensive security (Blue Team operations): protecting and monitoring networks and systems. It walks through the role of the SOC, digital forensics (DFIR), incident response, and SIEM tooling, and closes with a hands-on exercise that simulates a SOC analyst's job to identify and respond to a security alert.

Task 1 — Introduction to Defensive Security

Offensive security is about breaking into systems; defensive security is the opposite: preventing intrusions and, when they happen, detecting and responding to them. This is the work of the Blue Team, responsible for protecting, detecting, and responding to threats within an organization.

Q: Which team focuses on defensive security?
A: Blue Team

Este room introduce los fundamentos de la seguridad defensiva (operaciones Blue Team): proteger y monitorizar redes y sistemas. Recorre el papel del SOC, la informática forense (DFIR), la respuesta a incidentes y las herramientas SIEM, y cierra con un ejercicio práctico que simula el trabajo de un analista SOC para identificar y responder a una alerta de seguridad.

Task 1 — Introducción a la seguridad defensiva

La seguridad ofensiva busca romper sistemas; la seguridad defensiva hace lo contrario: prevenir intrusiones y, cuando ocurren, detectarlas y responder a ellas. Es el trabajo del Blue Team, responsable de proteger, detectar y responder a las amenazas de la organización.

Q: ¿Qué equipo se centra en la seguridad defensiva?
A: Blue Team

Task 2 — Exploring the Security Operations Center (SOC)

The SOC is a team of cybersecurity professionals that monitors the network and its systems for malicious events. Its core responsibilities are:

• Monitoring for intrusions, policy violations, suspicious activity, and vulnerabilities.
• Enforcing policy adherence, spotting unauthorized behavior and intrusion attempts.
• Prioritizing threat detection and response based on the analysis of logs and alerts.

Q: What would you call a team of cybersecurity professionals that monitors a network and its systems for malicious events?
A: Security Operations Center (SOC)

Beyond the room: real-world SOCs are usually organized in tiers. Tier 1 analysts triage incoming alerts and decide what to escalate; Tier 2 analysts investigate escalated incidents in depth and drive containment; Tier 3 analysts (often called threat hunters) proactively look for threats that automated detection missed and tune the detection rules for the tiers below them.

Task 3 — Digital Forensics

Digital forensics preserves, analyzes, and interprets data from systems to investigate incidents. Common focus areas include:

• File system: recovering deleted, partially overwritten, or created files from storage.
• System memory: analyzing volatile memory for malware or suspicious processes that only live in RAM.
• System logs: reviewing logs; even if an attacker tries to erase their traces, remnants often remain.
• Network logs: examining traffic to detect anomalies or active attacks.

Task 4 — Incident Response

The incident response process is typically structured in four phases:

1. Preparation: establishing teams, tools, policies, and training to handle incidents proactively.
2. Detection & Analysis: identifying incidents through alerts and logs and evaluating their scope and severity.
3. Containment, Eradication & Recovery: isolating affected systems, removing the threat, and restoring operations.
4. Post-Incident Activity: conducting reviews to learn from the incident, improve policies, and refine defenses.

Q: What phase of the incident response process involves providing "cyber awareness" training to employees?
A: Preparation

Beyond the room: this four-phase model matches NIST SP 800-61 ("Computer Security Incident Handling Guide"), the most widely referenced incident response framework. A common variant is SANS' six-step PICERL model (Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned), which splits "Detection & Analysis" into its own Identification step and adds an explicit Lessons Learned phase at the end.

Task 5 — Practical Example: SIEM Simulation

In this exercise you act as a SOC analyst working a simulated SIEM (Security Information and Event Management) dashboard. The flow is:

1. Click View Site within the room to open the SIEM simulation.
2. Follow the step-by-step instructions to examine alerts and logs.
3. Identify and escalate the relevant incident.
4. Perform the appropriate response actions (e.g., blocking an IP).
5. The flag appears upon successful completion.

Flag: THM{THREAT-BLOCKED}

Beyond the room: in production this same workflow runs on real SIEM platforms such as Splunk, Elastic Security (the ELK stack), IBM QRadar, Microsoft Sentinel, or the open-source Wazuh. They all share the same core job: aggregate logs from many sources, correlate them against detection rules, and surface the results as alerts and dashboards for an analyst to triage.

Concept Recap

Key Takeaways

• Defensive security (Blue Team) focuses on preventing intrusions and detecting and responding to them when they occur.
• The SOC continuously monitors the network to locate and prioritize threats.
• Digital forensics works across files, volatile memory, and system and network logs.
• Incident response follows a four-phase framework: preparation, detection and analysis, containment/eradication/recovery, and post-incident activity.
• A SIEM centralizes logs and alerts so the analyst can investigate and act on events.
• Many SOCs map the incidents they see to MITRE ATT&CK, a public knowledge base of adversary tactics and techniques, to standardize how attacker behavior is described and detected.

Task 2 — El Security Operations Center (SOC)

El SOC es un equipo de profesionales de ciberseguridad que vigila la red y sus sistemas en busca de eventos maliciosos. Sus responsabilidades principales son:

• Monitorización de intrusiones, violaciones de políticas, actividad sospechosa y vulnerabilidades.
• Hacer cumplir las políticas, detectando comportamientos no autorizados e intentos de intrusión.
• Priorizar la detección y respuesta ante amenazas a partir del análisis de logs y alertas.

Q: ¿Cómo se llama un equipo de profesionales de ciberseguridad que monitoriza una red y sus sistemas en busca de eventos maliciosos?
A: Security Operations Center (SOC)

Más allá del room: en los SOC reales el equipo suele organizarse por niveles. Los analistas de Nivel 1 clasifican y validan las alertas entrantes y deciden qué escalar; los de Nivel 2 investigan en profundidad los incidentes escalados y dirigen la contención; los de Nivel 3 (a menudo llamados threat hunters) buscan de forma proactiva amenazas que la detección automática no capturó y afinan las reglas de detección para los niveles anteriores.

Task 3 — Informática forense (Digital Forensics)

La informática forense preserva, analiza e interpreta datos de los sistemas para investigar incidentes. Las áreas de foco habituales son:

• Sistema de ficheros: recuperar archivos borrados, parcialmente sobrescritos o creados en el almacenamiento.
• Memoria del sistema: analizar la memoria volátil en busca de malware o procesos sospechosos que solo viven en RAM.
• Logs del sistema: revisar los registros; aunque un atacante intente borrar sus huellas, suelen quedar restos.
• Logs de red: examinar el tráfico para detectar anomalías o ataques en curso.

Task 4 — Respuesta a incidentes (Incident Response)

El proceso de respuesta a incidentes suele estructurarse en cuatro fases:

1. Preparación: constituir equipos, herramientas, políticas y formación para afrontar los incidentes de forma proactiva.
2. Detección y análisis: identificar incidentes mediante alertas y logs, y evaluar su alcance y gravedad.
3. Contención, erradicación y recuperación: aislar los sistemas afectados, eliminar la amenaza y restaurar la operación.
4. Actividad post-incidente: realizar revisiones para aprender del incidente, mejorar las políticas y afinar las defensas.

Q: ¿Qué fase del proceso de respuesta a incidentes incluye impartir formación de "cyber awareness" a los empleados?
A: Preparación

Más allá del room: este modelo de cuatro fases coincide con el NIST SP 800-61 ("Computer Security Incident Handling Guide"), el marco de respuesta a incidentes más referenciado. Una variante habitual es el modelo PICERL de SANS, de seis pasos (Preparación, Identificación, Contención, Erradicación, Recuperación, Lecciones aprendidas), que desdobla "Detección y análisis" en un paso propio de Identificación y añade al final una fase explícita de lecciones aprendidas.

Task 5 — Ejemplo práctico: simulación con un SIEM

En este ejercicio actúas como analista SOC frente a un panel simulado de SIEM (Security Information and Event Management). El flujo es:

1. Pulsar View Site dentro del room para abrir la simulación del SIEM.
2. Seguir las instrucciones paso a paso para examinar alertas y logs.
3. Identificar y escalar el incidente relevante.
4. Ejecutar las acciones de respuesta adecuadas (por ejemplo, bloquear una IP).
5. La flag aparece al completar el ejercicio con éxito.

Flag: THM{THREAT-BLOCKED}

Más allá del room: en producción, este mismo flujo de trabajo se ejecuta sobre plataformas SIEM reales como Splunk, Elastic Security (la pila ELK), IBM QRadar, Microsoft Sentinel o el open source Wazuh. Todas comparten la misma función central: agregar logs de múltiples fuentes, correlacionarlos con reglas de detección y mostrar el resultado como alertas y dashboards para que un analista los revise y priorice.

Resumen de conceptos

Puntos clave

• La seguridad defensiva (Blue Team) se centra en prevenir intrusiones y en detectarlas y responder cuando suceden.
• El SOC monitoriza de forma continua la red para localizar y priorizar amenazas.
• La informática forense trabaja sobre ficheros, memoria volátil y logs de sistema y red.
• La respuesta a incidentes sigue un marco de cuatro fases: preparación, detección y análisis, contención/erradicación/recuperación y actividad post-incidente.
• Un SIEM centraliza logs y alertas para que el analista investigue y actúe sobre los eventos.
• Muchos SOC mapean los incidentes que observan contra MITRE ATT&CK, una base de conocimiento pública de tácticas y técnicas de los atacantes, para estandarizar cómo se describe y detecta el comportamiento de los adversarios.