Herramientas, repositorios, modelos y estándares

Seudonimización escalable y ejecutada en el propio entorno. Pipeline de cinco etapas: lectura en flujo continuo de XML, JSON, CSV, PDF, DOCX y XLSX; detección de entidades combinando un modelo de NER con 36 patrones de expresiones regulares; sustitución por HMAC-SHA256; persistencia del mapeo en SQLite; y salida preservando el esquema original.

En el minicurso: es la herramienta demostrada en el Momento 1 de la Práctica 1. La estrategia de detección es seleccionable por línea de comandos y cambia cobertura por costo de procesamiento; la base del capítulo usa la standalone. La aceleración es superior a 535 veces frente a la generación anterior, sobre el mismo conjunto y el mismo hardware, en ejecución exclusivamente por CPU: la ganancia es arquitectónica, y no dependiente de GPU.

Segunda generación de la línea. Sustituye el hash público por HMAC-SHA256 con clave secreta definida por el operador, extiende el procesamiento a formatos estructurados con preservación de esquema, e incorpora OCR para texto incrustado en imágenes y PDF.

En el minicurso: explica por qué importa la clave secreta. Sin ella, el adversario reproduce el mapeo conociendo solo el algoritmo y el dominio de entrada, lo que vuelve trivial revertir seudónimos de espacios pequeños como el de las direcciones IPv4.

Primera generación, que estableció el enfoque híbrido: reconocimiento de entidades nombradas para lo que no tiene patrón sintáctico fijo, como nombres de personas y de organizaciones, y expresiones regulares para artefactos de formato determinado, como IP, correos electrónicos, URL e identificadores CVE.

En el minicurso: es el módulo de anonimización del ecosistema GT-LFI, con recall del 97,38% sobre 763 incidentes reales. Introdujo la reidentificación controlada, con traza de auditoría.

Núcleo de inteligencia del ecosistema GT-LFI, con interfaz web. Ofrece cinco funcionalidades: clasificación automática en categorías y subcategorías; sugerencia de acciones de contención; generación de playbooks en Markdown y en Ansible; ciclo con humano en el bucle; y consulta de incidentes similares.

En el minicurso: es la herramienta central de las partes prácticas 2 y 3. La capa de inteligencia está abstraída por un SDK, lo que permite alternar entre modelos según el requisito de privacidad, y el retorno de las validaciones humanas se incorpora al conocimiento del sistema.

Implementación de referencia de las estrategias de prompting evaluadas en el capítulo. Escrita en Python, recibe tickets seudonimizados, monta el prompt según el escenario elegido (con o sin taxonomía, con o sin heurística iterativa), envía a las API de los modelos configurados y exporta los resultados en CSV, XLSX o JSON.

En el minicurso: sostiene el experimento de cuatro escenarios sobre 194 incidentes que muestra la ganancia de combinar taxonomía estructurada con heurística iterativa. Fue posteriormente incorporada a AutoClass-LFI.

Evolución de SecLINC. Generaliza el mecanismo para cinco técnicas de ingeniería de prompts y añade soporte para ejecución local vía Ollama.

En el minicurso: es la base de los experimentos con modelos de pesos abiertos ejecutados en el propio entorno, que cuantifican el costo de exactitud de la opción por la privacidad.

Learn From Incidents, proyecto del programa Hackers do Bem de la RNP. Integra cuatro módulos en un ciclo único: ANON-LFI seudonimiza; AutoClass-LFI clasifica y recomienda; el Módulo PoP somete el resultado al análisis de pasantes y a la validación de analistas experimentados; y la plataforma educativa convierte los incidentes validados en itinerarios, lecciones, cuestionarios y desafíos.

En el minicurso: es el marco operativo y pedagógico de todo el capítulo. Fue él quien convirtió el ciclo operativo en ciclo pedagógico, cerrando el lazo entre operación y formación.

Entorno operativo de triaje y validación del ecosistema GT-LFI. Ofrece a los pasantes una interfaz en la que los incidentes aparecen con las etiquetas sugeridas por la IA para análisis crítico, y a los analistas experimentados una vista consolidada con tasa de concordancia entre humano e IA, historial de decisiones y priorización.

En el minicurso: es donde la validación humana deja de ser discurso y se vuelve mecanismo. Sitúa la validación entre la clasificación y la generación del playbook, y no solo al final, justamente porque una clasificación equivocada produce un playbook correctamente generado para la categoría incorrecta.

Plataforma de gamificación basada en IA orientada a la enseñanza y al aprendizaje en seguridad. Convierte los incidentes ya validados en itinerarios, lecciones, cuestionarios y desafíos.

En el minicurso: es el eslabón que cierra el ciclo entre operación y formación. En la evaluación con 35 residentes, la tasa media de acierto entre la prueba previa y la posterior subió del 67,9% al 91,7%. El itinerario de clasificación de incidentes fue el más difícil, con el menor puntaje medio, lo que dialoga directamente con los límites observados en los modelos automáticos.

Generador de tickets sintéticos de seguridad, del ecosistema GT-LFI.

En el minicurso: aborda la segunda estrategia de mitigación de la escasez de datos. Las dos son complementarias, y no competidoras: los datos seudonimizados pueden alimentar modelos que producen conjuntos sintéticos publicables. El equipo del GT-LFI registra la construcción de una base sintética de incidentes como prioridad para los próximos ciclos.

Plataforma gamificada de simulación de SOC, orientada al entrenamiento en caza de amenazas y a la educación en respuesta a incidentes, desarrollada en alianza con la RNP. La arquitectura se caracteriza como un entorno de tipo SIEM, lo que permite reproducir de forma controlada las condiciones de trabajo de un analista.

En el minicurso: complementa el ecosistema GT-LFI al ofrecer el entorno de simulación que los itinerarios de formación presuponen.

Contiene los cinco notebooks Python, que cubren los tres estudios de caso y se encadenan por las salidas de cada práctica; el conjunto de tickets sintéticos usados en las demostraciones; los prompts de referencia; cinco procedimientos operativos estándar en dados/pops/; y las instrucciones de instalación.

En el minicurso: es el complemento ejecutable del capítulo. Los notebooks son autocontenidos, no dependen del acceso a las herramientas internas del grupo y se ejecutan sin GPU y sin credenciales de API. El código está bajo licencia MIT; los textos, los datos sintéticos y el material didáctico, bajo CC BY 4.0.

El texto integral del Capítulo 1, en portugués, con 50 páginas: los fundamentos normativos, la revisión de la literatura organizada por categoría de aplicación, los tres estudios de caso y las conclusiones.

En el minicurso: es la fuente de todo lo que este sitio resume. El capítulo explica el porqué; el repositorio muestra el cómo, de forma ejecutable. La versión disponible aquí es la de los autores, anterior a la publicación oficial por la SBC.

SDK de protección de datos y desidentificación, con orquestación de reconocedores de información personal en texto libre.

En el minicurso: lo usa la estrategia presidio de AnonShield, que maximiza el recall al costo de falsos positivos provenientes de reconocedores irrelevantes para el dominio de seguridad. Precisión del 71,9% con el mismo recall del 96,4% de las demás estrategias, lo que es defendible cuando la sobreanonimización es aceptable.

Anonimización de datos tabulares con garantías formales: k-anonimato, l-diversidad y t-cercanía. Con origen en el dominio biomédico.

En el minicurso: aparece como contrapunto. Las herramientas así presuponen datos tabulares y la detección ya hecha, y por eso no atacan el problema operativo de los relatos en texto libre.

Control de divulgación estadística para microdatos, con origen en el dominio estadístico.

En el minicurso: el mismo contrapunto que ARX. Es una herramienta madura para datos tabulares estructurados, y no para relatos narrativos mezclados con artefactos técnicos.

Anonimización de direcciones IP preservando la estructura de prefijo, lo que mantiene la posibilidad de análisis por subred después del tratamiento.

En el minicurso: es elegante y resuelve bien lo que se propone, pero cubre un único tipo de entidad. Fue usada por Jesus Filho y colegas en la anonimización de la base etiquetada con la taxonomía del CERT.br.

Modelo comercial ligero, accedido por API, con capa gratuita en Google AI Studio suficiente para las actividades del minicurso.

En el minicurso: es el modelo que produjo los resultados reportados en los estudios de caso 2 y 3, y el que la Práctica 2 llama en tiempo real. El identificador exacto se registra a propósito: los proveedores comerciales actualizan endpoints sin aviso, y la reproducción de los números depende de esa información.

Capa de empaquetado y gestión de modelos de pesos abiertos para ejecución local, que reduce sustancialmente la barrera de entrada.

En el minicurso: es el proveedor local de la Práctica 3 y la base de los experimentos con modelos abiertos que cuantifican el costo de la privacidad. Es el camino que vuelve tangible ese argumento: con él, el dato no sale de la máquina del participante.

Biblioteca y repositorio asociado que consolidaron el ecosistema en el cual los modelos preentrenados se distribuyen con pesos abiertos y pueden ejecutarse localmente.

En el minicurso: carga el modelo de NER de AnonShield. El notebook de la Práctica 1 degrada con elegancia: si la biblioteca no está disponible, un reconocedor léxico simplificado asume el papel, y la lección sobre cobertura permanece observable.

Modelo multilingüe de reconocimiento de entidades nombradas, que reconoce persona, organización y lugar.

En el minicurso: es el modelo predeterminado de NER de AnonShield, usado sin ajuste fino. El carácter multilingüe importa, porque los relatos de CSIRT académicos brasileños mezclan portugués e inglés, a veces en el mismo ticket.

Modelo de reconocimiento de entidades entrenado sobre aproximadamente 503 mil fragmentos anotados de inteligencia de amenazas, capaz de reconocer 22 tipos de entidad específicos de ciberseguridad.

En el minicurso: es la alternativa de dominio al modelo multilingüe predeterminado. Aborda la brecha señalada en el capítulo: los marcos genéricos de PLN no traen, de fábrica, reconocedores para el vocabulario técnico de seguridad.

Modelo de embeddings de oración de la familia Sentence-BERT, usado para medir similitud semántica entre fragmentos de texto.

En el minicurso: sostiene la comparación semántica entre la respuesta del modelo y la etiqueta humana, necesaria cuando el modelo responde en texto libre. Introduce una dependencia que debe declararse, porque la elección del modelo de embeddings cambia los números.

Modelo de 8 mil millones de parámetros con preentrenamiento continuo adaptado al dominio de seguridad, publicado por Foundation AI de Cisco.

En el minicurso: representa la tercera vía para reducir la brecha entre modelos locales y comerciales sin renunciar a la ejecución local. El entrenamiento continuo sobre corpus especializados mejora tareas típicas de SOC, incluidos el triaje y el enriquecimiento de alertas.

Entre 21 modelos de 1 a 20 mil millones de parámetros evaluados, tres se destacaron en la franja del 62% al 70% de precisión en las dos plataformas de hardware probadas: deepseek-r1:14b, phi3:14b y qwen3:4b. Los modelos de 1B a 1,8B quedaron por debajo del 20%.

En el minicurso: delimitan la recomendación práctica de hardware. Los factores determinantes son el número de parámetros y la capacidad de GPU, y no la temperatura: quien pretenda operar clasificación local debe invertir en memoria de video, y no gastar tiempo calibrando la temperatura.

Orquestador SOAR de código abierto, con editor visual de flujos y amplia biblioteca de conectores.

En el minicurso: es la principal opción citada en el relevamiento de plataformas SOAR abiertas y la base de integración de AI4SOAR, usada para demostrar la selección automática de playbooks.

Plataforma de gestión de casos de respuesta a incidentes, con fuerte integración con el motor de análisis Cortex.

En el minicurso: aparece en el relevamiento de plataformas abiertas como la opción orientada a la gestión del caso, y no a la orquestación del flujo.

Motor de análisis que acompaña a TheHive, ejecutando analizadores y acciones de respuesta sobre los observables de un caso.

En el minicurso: es el componente que ejecuta el enriquecimiento, etapa que antecede a la decisión sobre a qué playbook recurrir.

Combina funciones de SIEM, detección en endpoint y respuesta activa en una única plataforma de código abierto.

En el minicurso: corresponde a las capas de visibilidad y de detección conductual, los dos primeros de los tres niveles de madurez propuestos para quien monta un SOC con componentes abiertos.

En vez de generar un playbook nuevo, selecciona del repositorio existente aquel más adecuado a la alerta recibida, usando aprendizaje de similitud, con integración con Shuffle.

En el minicurso: representa el camino de recuperar en vez de generar. La ventaja de seguridad suele ser subestimada: el procedimiento recuperado ya fue homologado, lo que elimina la categoría entera de riesgos asociados a la alucinación. La limitación es la cobertura, ya que las alertas inéditas no tienen correspondiente.

La revisión 3 promovió un cambio de perspectiva relevante: en vez de tratar la respuesta a incidentes como proceso autocontenido con fases propias, pasa a presentarla como un perfil comunitario del NIST CSF 2.0. La preparación y el aprendizaje dejan de ser etapas de un ciclo cerrado y se vuelven actividades continuas de gestión de riesgo.

En el minicurso: de ella deriva la taxonomía de referencia adoptada, con doce categorías funcionales, usada de forma consistente en los estudios de caso 1 y 2.

Organiza la gestión de seguridad en seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar.

En el minicurso: es la estructura sobre la cual el capítulo mapea, función por función, dónde la IA puede apoyar y qué permanece bajo decisión humana. Gobernar es la función que decide cuánta autonomía delegar a un sistema automatizado.

Organiza la gestión de riesgo de sistemas de IA en cuatro funciones: Gobernar, Mapear, Medir y Gestionar.

En el minicurso: aporta los principios de gobernanza aplicables al contexto de un SOC, que es donde la discusión abstracta sobre autonomía se convierte en decisión por función.

Trata de la identificación y de la gestión del sesgo en inteligencia artificial.

En el minicurso: es la referencia que enfatiza al humano en el bucle como práctica central de mitigación de riesgos de IA, y sostiene el diseño del Módulo PoP.

Organiza la actuación de un equipo de respuesta en áreas de servicio: gestión de eventos de seguridad, gestión de incidentes y gestión de vulnerabilidades, entre otras. Es deliberadamente agnóstico en cuanto a herramientas: describe qué hace el equipo, no cómo.

En el minicurso: aporta el vocabulario que separa CSIRT de SOC, distinción frecuentemente confundida. Ambos consumen el mismo insumo, relatos textuales de eventos adversos, y enfrentan el mismo cuello de botella de triaje.

Estándar OASIS para representación de playbooks en JSON, con estructura explícita de flujo: pasos secuenciales, condicionales, paralelos y de decisión, además de agentes objetivo y comandos. Su propósito es el intercambio entre organizaciones y la orquestación en plataformas SOAR.

En el minicurso: es el formato exigido en la salida de la Práctica 3, y lo que vuelve posible la validación automática. La validación sintáctica verifica la conformidad con el esquema; la semántica verifica si los pasos referenciados existen, si el grafo es alcanzable y sin ciclos indebidos, y si ningún comando usa una herramienta fuera de la lista autorizada.

Cataloga tácticas y técnicas adversarias observadas en incidentes reales, y es el vocabulario de referencia para inteligencia de amenazas.

En el minicurso: sirve de contexto en la generación de playbooks, pero el capítulo hace una salvedad importante: ATT&CK describe cómo actúa un adversario, y no qué tipo de incidente ocurrió, y por eso no sustituye una taxonomía de clasificación.

Taxonomía de clasificación de incidentes concebida para armonizar la comunicación entre CSIRT europeos.

En el minicurso: integra el panorama de vocabularios en uso, junto a MITRE ATT&CK, la taxonomía del CERT.br y las categorías funcionales del NIST.

Conjunto compacto de categorías operativas adoptado en las notificaciones nacionales brasileñas. En el recorte usado en el capítulo, son seis categorías: DoS, fraude, intrusión, escaneo, web y otros.

En el minicurso: se usa como contraste a las doce categorías del NIST, lo que permite discutir un punto raramente explicitado: la elección del vocabulario afecta el desempeño medido tanto como la elección del modelo, y reportar exactitud sin declarar la taxonomía vuelve el número incomparable.

Formato ejecutable de los playbooks, en el cual cada paso se vuelve una tarea idempotente aplicable a la infraestructura.

En el minicurso: es una de las tres representaciones de playbook usadas. La idempotencia es decisiva, porque reejecutar el procedimiento no duplica efectos, lo que importa cuando el estado del entorno es incierto. La contrapartida es que un playbook ejecutable generado por un modelo es, potencialmente, un vector de acción insegura.

Ley brasileña n. 13.709, del 14 de agosto de 2018, la Lei Geral de Proteção de Dados Pessoais, la ley general de protección de datos personales de Brasil.

En el minicurso: define el régimen jurídico de todo el material. La consecuencia debe enunciarse sin ambigüedad: como la reversión es posible para quien tiene la clave y el mapeo, el dato seudonimizado sigue siendo dato personal. Los equipos que tratan la seudonimización como equivalente a la anonimización asumen un riesgo de conformidad que no perciben.

Serie histórica de incidentes notificados al CERT.br, con detalle por tipo de incidente y por año.

En el minicurso: es la fuente del número que abre el capítulo, 516.556 notificaciones solo en 2024, equivalentes a un promedio de 1.411 por día.

Navegación por vulnerabilidades publicadas, organizadas por fecha.

En el minicurso: sostiene el segundo indicador de presión: las CVE divulgadas por año pasaron de cerca de 7.928 en 2014 a 40.287 en 2024, llegaron a 48.448 en 2025 y tienen una previsión mediana en torno de 59.400 para 2026.