Learning Process
Overview
Este es uno de mis módulos favoritos de todos los que he realizado hasta ahora porque, aunque no contenga ejercicios prácticos de hacking en sí, es de muchísima utilidad para construir una mentalidad adecuada a la hora de enfrentarse a ellos.
En resumen, a lo largo de sus secciones, nos encontramos analizando conceptos como qué es la voluntad, qué es una meta, qué es el talento, cómo identificar el progreso y cómo lidiar con la frustración, entre otros. Todo enfocado desde la perspectiva de una persona que desea introducirse a la ciberseguridad. También tiene un apartado dedicado a la documentación y organización en un Pentest.
"Ninguna de las grandes personalidades de la humanidad puede decir que ya conocía el camino que los llevó a su meta de antemano. Lo que ellos conocían era la meta que habían definido para ellos mismos".
Destaco esta frase porque en ese momento me sirvió para darme cuenta de que está bien sentirse un poco perdido a veces, eso significa que salimos de nuestra zona de confort y que nos estamos enfrentando a cosas nuevas, con la incertidumbre que eso conlleva. Al final, lo importante es seguir adelante.
En el módulo hay algunos ejercicios optativos de investigación o reflexión personal que complementan el contenido ofrecido y eso es lo que podes encontrar a continuación...
Way Of Thinking
Ejercicio: Intenta resolver esta simple ecuación matemática:
20 * _____+ _____ = 65535
Esta ecuación es fácil de resolver, pero ¿y si pensamos en cuántas formas diferentes hay para resolverla? ¿Por qué no resolviste el problema de otra manera? Escribe las razones para elegir el método que escogiste.
20 * 3000 + 5535 = 65535
Creo que resolví el problema presentado de esta forma porque se aproxima a lo que me enseñaron previamente en la escuela. Separé en términos, tuve en cuenta la jerarquía de las operaciones y descompuse al 65535 en 20 * 3000 y 5535, que por cierto es la cantidad total de puertos existentes.
Think Outside the Box
¿Qué limitaciones te indicaron para este ejercicio? - Ninguna.
Entonces: ¿Por qué no consideraste cambiar las operaciones aritméticas? ¿Por qué no pensaste en agregar más dígitos? Ejercicio: Trate de responder lo más detalladamente posible por su cuenta en al menos 200 palabras.
En mi opinión, creo que esto tiene que ver con la manera en que está planteado el sistema educativo. Desde pequeños, se nos acostumbra a que primero se nos muestre cómo resolver un problema para luego mecanizar ese proceso y repetirlo de memoria, muchas veces sin lograr comprender las bases. De esta manera, no somos incentivados a buscar diferentes maneras de resolver un problema. En consecuencia, no desarrollamos el pensamiento lateral.
Además, vale destacar que muchas veces los profesores solo admiten como válido el método que se enseñó en el aula, descartando cualquier otra posibilidad igual de funcional o incluso más efectiva. Sin lugar a dudas, esto desmotiva a los estudiantes curiosos.
En cambio, el mundo de la ciberseguridad es completamente distinto y es por eso que de buenas a primeras resulta tan desafiante. Acá es necesario desarrollar una mentalidad autodidacta y proactiva. Aprendemos en comunidad, cada uno aportando distintas perspectivas, técnicas y conocimientos. Estamos expuestos a la metodología de "prueba y error" desde el principio. Constantemente debemos estar alertas, buscando alternativas para superar los desafíos. Es común intentar cosas que no sabemos si van a funcionar o no, pues no existe un único camino válido, siempre puede haber más.
Learning Efficiency
Ejercicio: Recolecta información sobre la "Pirámide del Aprendizaje" y crea una descripción general de la misma. Analiza tu investigación, procésala y documéntala.
La Pirámide del Aprendizaje, también conocida como el “cono del aprendizaje” es un modelo educativo que teoriza que algunos métodos de aprendizaje ayudan a los estudiantes a recordar información más que otros. El modelo sugiere que aquellas técnicas que implican una participación activa suelen ser más efectivos que los métodos pasivos, como leer o escuchar.
Sin embargo, vale aclarar que desde la comunidad científica se cuestiona su veracidad. Especialistas afirman que, si bien tiene sentido que el aprendizaje activo es más eficiente que el pasivo, son tantas las variables que afectan la recuperación de la memoria, que no se puede asignar porcentajes específicos a cada técnica.
Hay diversas versiones que varían de manera poco significativa en los porcentajes.
A continuación, se presenta un gráfico de la Pirámide del Aprendizaje:
Learning Types
Ejercicio: Recolecta información sobre la creatividad y la resolución de problemas.
Las habilidades blandas (‘soft skills’) tienen que ver con la capacidad de comunicarse y trabajar con otros de manera constructiva. Son habilidades esenciales en cualquier lugar de trabajo, ya que permiten:
Aumento de la productividad.
Mejora en los equipos de trabajo.
Mejor comunicación.
Mayor satisfacción laboral de los empleados.
El Foro Económico Mundial predijo que para 2025, el pensamiento crítico, la resolución de problemas y la creatividad se encontrarían entre las habilidades blandas más importantes.
Global Talent Trend Report de LinkedIn en 2019 reveló que 92% de los managers cree que las habilidades blandas son igual de importantes que las habilidades duras. Por fuera del lugar de trabajo, las habilidades blandas también son esenciales para mejorar las relaciones interpersonales, por lo que pueden ser aplicadas tanto personal como profesionalmente.
La creatividad es la habilidad de considerar una tarea o un problema en una forma diferente. Es el proceso de usar la intuición e intentar formular nuevas ideas. Puede ayudarnos a resolver tareas complejas y encontrar formas diferentes y más interesantes de encararlas. Ser creativo es esencial para resolver problemas pues nos permite abordarlos desde todos los ángulos.
¿Cómo mejorar la creatividad?
Trabajar en la autoconciencia - es importante conocerse a uno mismo, tus fortalezas y limitaciones, y actuar en base a ello.
Practicar la empatía - es un elemento central de la inteligencia emocional que nos permite entender los puntos de vista de clientes y compañeros de trabajo. Resulta en soluciones creativas más valiosas para los problemas que podrían surgir.
Expandir el conocimiento - cuanto más sepas, serás capaz de considerar más maneras diferentes de solucionar un problema. Incluso puede que identifiques problemas antes de que surjan.
Tener en cuenta las experiencias previas - aprende de las experiencias que tuviste en el pasado y aplica ese conocimiento.
Colaborar con otros - es una de las mejores maneras de llegar a soluciones creativas, permite identificar soluciones potencialmente obvias que no habían sido probadas antes.
La resolución de problemas también es clave en un empleo. Las habilidades de resolución de problemas implican que el empleado identifique rápidamente cualquier problema, proponga soluciones adecuadas para ellos, implemente esas soluciones y revise qué tan efectivas fueron. La resolución de problemas abarca más atributos: lógica, resiliencia, determinación, imaginación y creatividad.
¿Cómo mejorar la resolución de problemas?
Enfocarse en la solución, no en el problema.
Definir el problema lo más simple que puedas - considera qué causó el problema, ten en cuenta cada detalle y vuelve a las bases.
Lluvia de ideas y trabajo en equipo – no hay respuestas incorrectas en esta etapa, así que es importante mantener una mente abierta.
Aprender del pasado - cuando estás abordando un problema, considera todas las similitudes que podría tener con un problema con el que hayas lidiado previamente.
Esta información la obtuve a partir de un artículo bastante interesante de FutureLearn.
Documentation
Ejercicio: Investiga y encuentra ejemplos de reportes. Obtén una visión general de los siguientes aspectos:
¿Qué temas se han tratado?
¿Cómo están estructurados?
¿Cómo se presentan?
El informe debe comunicar lo que encontraste tanto a los perfiles que tienen conocimientos técnicos (desarrolladores, equipo de seguridad) como a los que no (ejecutivos).
Propiedades del documento
Título
Versión
Autor
Pentesters
Aprobado por X
Clasificación confidencial
Overview / Resumen
Indicar qué empresa efectuó las pruebas de seguridad, así como también qué compañía contrató el servicio. Añadir qué metodología se empleó: PTES (Penetration Testing Execution Standard), OWASP (Open Web Application Security Project), etc.
Objetivos del pentesting:
Identificar si un atacante remoto puede penetrar las defensas de tal empresa.
Determinar el impacto de una brecha de seguridad en la confidencialidad de los datos de la compañía y la infraestructura interna.
Plan, descubrimiento, ataque.
Severidad
Identificar el nivel de riesgo o impacto de las vulnerabilidades encontradas. Se pueden usar gráficos con colores: bajo (verde), moderado (amarillo), alto (naranja), crítico (rojo).
O también se puede utilizar un sistema de puntaje como CVSS (Common Vulnerability Score System). Para determinar el impacto que representa una vulnerabilidad se utiliza una escala que va del 0 al 10. La severidad se considera baja si el puntaje obtenido luego de aplicar la fórmula CVSS resulta entre 0.0 y 3.9. El impacto es medio si el resultado se ubica entre 4.0 y 6.9. Se considera alto cuando el puntaje cae dentro del rango 7.0 y 10.0.
Alcance del pentesting
Especificaciones del contrato. Acuerdo entre la empresa y el cliente. Qué se permite hacer y qué no (por ejemplo, se puede excluir la prueba de DoS). Con qué información se partió (black box, grey box o white box).
Reporte ejecutivo
Resumen de los aspectos más relevantes. Señalar puntos fuertes y débiles de la seguridad de la empresa.
Informe técnico
Qué vulnerabilidades se encontraron.
Qué herramientas / técnicas se utilizaron para explotarlas.
IP / dominio target.
Adjuntar evidencia [capturas de pantalla, gráficos, Proof of Concept (POC)].
Medidas de mitigación y recomendaciones.
Conclusión
Si se cumplieron los objetivos especificados al comienzo.
Recursos / Fuentes:
Organization
Ejercicio: Crea una lista de diferentes técnicas de organización.
Scrum
Es un marco de administración que los equipos utilizan para organizarse y trabajar con un propósito común. Aunque son los equipos de desarrollo de software los que utilizan con mayor frecuencia esta técnica, sus principios se pueden aplicar a todo tipo de trabajo en equipo.
Describe un conjunto de reuniones, herramientas y funciones para entregar proyectos de forma eficiente. Las prácticas de Scrum permiten a los equipos de trabajo gestionarse por cuenta propia, lo cual aporta valor al cliente en un período limitado conocido como Sprint. También permite aprender a partir de la experiencia y adaptarse al cambio.
Scrum se basa en tres principios fundamentales para el éxito de sus proyectos:
Transparencia
Reflexión
Adaptación
Además, establece los siguientes valores para los equipos de trabajo:
Compromiso
Valentía
Concentración
Actitud receptiva
Respeto
Agile
Es una forma de organización que consiste en dividir un proyecto en varias fases. Una vez que comienza el trabajo, los equipos pasan por un proceso de planificación, ejecución y evaluación. Establece que dicho proyecto puede ser mejorado constantemente a través de su ciclo vital. La colaboración continua es vital, tanto con los miembros del equipo como con las partes interesadas del proyecto. Es una de las metodologías más utilizadas debido a su flexibilidad.
Agile consta de cuatro valores fundamentales que se describen a continuación:
Los individuos y las interacciones son más importantes que los procesos y las herramientas.
Un software funcional es más importante que una documentación exhaustiva.
La colaboración con el cliente es más importante que la negociación de contratos.
La adaptación al cambio es más importante que la ejecución de un plan.
To-do lists
Las listas de tareas ayudan a recordar las tareas diarias y a llevar un seguimiento de logros. Permiten mantener las prioridades en orden, ayudan a optimizar su tiempo libre y mejoran el flujo de trabajo.
Bullet Journal
Se trata de un sistema de organización rápido y flexible. En un cuaderno se crea un registro anual, un registro mensual y registros diarios. Gracias a la simbología característica del Bullet Journal, delante de cada una de las tareas añadiremos un símbolo que identificará el tipo de tarea del que se trata (tareas simples, eventos, notas, tareas urgentes, etc.)
La idea es que esté todo centralizado. El índice es clave para poder seguir un orden.
Learning Progress
Veamos los siguientes ejemplos matemáticos:
(1.00)^365 = 1.00
(1.01)^365 = 37.7
¿Qué quiere decir? Que aunque solo aumentemos nuestro rendimiento en un 1% por día, haremos una enorme diferencia.
Ejercicio: ¿Cuál es la diferencia entre los dos números mencionados? La diferencia es de 36.7.
Last updated
