Notas desde la línea.

La mayor parte del threat intel no es para ti. La parte útil es una respuesta rápida a una pregunta: ¿está este aviso en lo que realmente ejecutamos?

Rastrea un contenedor en producción hasta su commit, build y pull request usando digests de imagen, etiquetas OCI y atestaciones.

Los revisores obligatorios en un entorno de producción solo funcionan si quien escribió el cambio no puede aprobarlo también. Ejecuta esta checklist para comprobarlo.

Un checklist para repasar en una sola reunión antes de invitar a investigadores externos: fundamentos de divulgación, alcance, SLAs de triage, estructura de recompensas y el ciclo que convierte los informes en arreglos.

Cinco controles, una jornada: disco cifrado, secretos fuera de los dotfiles, claves SSH protegidas, commits firmados y tokens que solo pueden hacer su trabajo.

El control de acceso roto es el bug que QA está mejor situado para detectar. Una matriz de rol por endpoint y unas pocas líneas de pytest lo vuelven rutina.

Cada hallazgo de pentest te dice cómo te atacaron. Úsalo dos veces: corrige el bug y escribe la detección que habría pillado el intento.

Pasa todos los paquetes por un único proxy, haz que las versiones nuevas esperen unos días, desactiva los scripts de instalación y deja que decida el lockfile.

Políticas cortas mapeadas a controles reales, con evidencias extraídas de tus pipelines, valen más que documentos larguísimos que nadie abre hasta la auditoría.

No puedes revisar la seguridad de cada pull request. Dirige las pocas que importan a quienes saben qué buscar, usando rutas y CODEOWNERS.

Las extensiones del editor se ejecutan como tu código, con tus ficheros y tus tokens. Cómo funcionan, cómo inventariarlas y cómo montar una allowlist que la gente acepte.

Tres artefactos, tres preguntas: qué hay dentro, quién lo construyó y si ha cambiado. Así se genera y se comprueba cada uno.

Un plan estación por estación para el ingeniero de seguridad en solitario, más cuatro medidas que te dicen si el programa funciona de verdad.

Un único documento de threat model se queda obsoleto la semana siguiente al workshop. Divídelo en capas y actualiza cada una cuando esa capa cambie.

Un servidor MCP se ejecuta con tus tokens, tu sistema de ficheros y tu red. Esto es lo que significa y cómo inventariarlo y acotarlo.

Las etiquetas se mueven, los SHA no. Fija cada action, deja que un bot las mantenga al día y reduce el token a lo que necesita cada job.

Un informe de pentest es una lista de bugs con evidencias. Hazle triage, reprodúcelo, corrige la causa raíz y asegúrate de que ningún hallazgo pueda volver a colarse.

Si tu diagrama de arquitectura no puede mostrar dónde cambia la confianza, no puede decirte hacia dónde van los ataques. Así se dibuja uno que sí lo haga.

Ejecutar todos los escáneres en cada commit es fácil. Lograr que los desarrolladores lean el resultado es el trabajo de verdad, y empieza por mostrar menos.

Cuatro formas en que un paquete malicioso llega a tu build, cómo se ve cada una en un manifest o en un log, y cómo comprobarlo tú mismo.

Cuándo contratar, qué perfil buscar primero, qué debería producir el primer trimestre y cuándo un líder a tiempo parcial es la mejor jugada inicial.

Escribe la historia de mal uso en el mismo ticket que la funcionalidad y los requisitos de seguridad dejarán de ser un documento que nadie abre.

Por qué los mejores threat models salen con negocio, desarrolladores y ciber en la misma sala, y cómo hacer uno en una hora.