Ir al contenido
En un artículo anterior te dije que los proyectos valen más que los títulos reglados cuando buscas tu primer trabajo en ciberseguridad. Y me llegaron muchos mensajes diciendo: «vale Pablo, pero ¿qué proyectos hago exactamente?».
Hoy te respondo. Cinco proyectos de ciberseguridad concretos que puedes construir, aunque no tengas experiencia, y que hacen que un reclutador te mire distinto. No son proyectos de adorno. Cada uno demuestra una habilidad que las empresas buscan de verdad.
Antes de empezar, si no me conoces, me presento. Soy Pablo López y empecé en la ciberseguridad en 2021, sin ningún tipo de experiencia ni formación reglada. Hoy trabajo en Estados Unidos como hacker ético y en este blog ayudo a personas como tú a comenzar su carrera en el sector.
Por qué los proyectos funcionan para conseguir empleo
Antes de la lista, entiende por qué esto funciona, porque es la clave de todo.
Cuando eres junior, tu problema es que no tienes experiencia. Y sin experiencia, el reclutador no tiene forma de saber si sabes hacer el trabajo. Un proyecto resuelve exactamente eso. Es la prueba de que sabes hacer algo real, no solo de que has visto un curso.
Un proyecto bien documentado le dice al reclutador tres cosas a la vez: que tienes iniciativa, porque lo has hecho sin que nadie te obligue; que sabes aplicar lo que aprendes, porque lo has puesto en práctica; y que sabes comunicar, porque lo has documentado. Esas tres cosas son justo lo que separa a un junior que contratan de uno que descartan.
Proyecto 1: tu propio laboratorio de hacking
El primer proyecto es montar y documentar tu propio entorno de pentesting aislado. Una máquina atacante con Kali Linux y una o varias máquinas víctima vulnerables a propósito, como Metasploitable, máquinas de VulnHub o DVWA, todo en red aislada con VirtualBox o VMware.
Monta un escenario concreto, ya sea con máquinas virtuales vulnerables o con máquinas que crees tú mismo, replicando escenarios o vulnerabilidades que hayas visto en internet. Por ejemplo, busca un CVE concreto. Un CVE es un identificador único asociado a una vulnerabilidad, y replica un escenario para explotarlo. Y en el proceso, documéntalo todo: cómo lo montaste y cómo lo resolviste.
Lo bueno de esto es que aprendes al mismo tiempo que practicas. Optimizas tu tiempo de estudio, porque lo enfocas a un proyecto que más adelante vas a mostrar.
Y trátalo como un trabajo. El portfolio será lo que vea un reclutador. Si no cuidas lo que haces, eso se verá reflejado en tu forma de trabajar. Así que prepara el proyecto como si tu jefe lo fuese a revisar después. Si aún no tienes tu entorno montado, empieza por aquí: te dejo mi guía para instalar Kali Linux en VirtualBox y la de instalar Metasploitable 2 como máquina víctima.
Proyecto 2: Home SOC Lab con detección de amenazas
El segundo proyecto es el estrella para perfiles defensivos: montar tu propio centro de operaciones de seguridad en casa. Un mini SOC. Básicamente, un sistema que recoge logs, tiene reglas de detección y te lanza alertas cuando algo sospechoso ocurre. Puedes montarlo con herramientas gratuitas como Wazuh o el stack de Elastic.
Monta un escenario concreto: instala el SIEM en tu laboratorio, conéctalo a una máquina para que recoja sus logs, y luego genera actividad sospechosa desde tu Kali, como un escaneo o un intento de fuerza bruta. Configura las reglas para que salte una alerta cuando eso pasa. Haz que esa alerta te llegue a Telegram o a Discord. Documenta todo el proceso: la arquitectura, las reglas que creaste y las alertas funcionando con capturas.
Lo bueno de este proyecto es que habla directamente al tipo de trabajo más habitual cuando entras: analista de seguridad, SOC, blue team. Demuestra que entiendes cómo se monitoriza un entorno y cómo se detecta un ataque. Y otra vez, aprendes montándolo.
Este proyecto, bien documentado, le dice a un reclutador que podrías sentarte en su SOC y empezar a aportar. Si este es el camino que te interesa, te ayudo a entenderlo en profundidad con mi guía para empezar en Blue Team y el curso de analista de seguridad (SOC).
Proyecto 3: Bug Bounty, ataca objetivos reales
El tercer proyecto es el que te acerca más al trabajo real de todos: hacer bug bounty. Es decir, buscar vulnerabilidades en objetivos reales, de empresas reales, dentro de programas que te autorizan expresamente a hacerlo. Plataformas como HackerOne, Bugcrowd o Intigriti tienen cientos de programas donde las empresas te invitan a atacar sus sistemas y te recompensan si encuentras algo.
Y esta es la diferencia clave con los proyectos anteriores. En un laboratorio o en Hack The Box atacas entornos preparados para ser vulnerados, donde sabes que hay algo que encontrar. En bug bounty atacas sistemas reales, en producción, donde nadie te garantiza que haya una vulnerabilidad. Tienes que encontrarla tú. Eso es exactamente lo que vas a hacer en una auditoría cuando trabajes en una empresa.
Empieza eligiendo un programa con un alcance amplio y que acepte principiantes. Lee bien las reglas: qué puedes atacar y qué no, porque salirte del alcance sí es ilegal. Enfócate al principio en un tipo de vulnerabilidad, apréndetelo a fondo, y búscalo en varios objetivos. Y cada cosa que encuentres, documéntala como un reporte profesional: qué es la vulnerabilidad, cómo la explotaste, qué impacto tiene y cómo se corrige. Ese reporte es idéntico al informe que entregarías como pentester.
Lo bueno de bug bounty es que aprendes atacando lo mismo que atacarás en la empresa: aplicaciones reales, con defensas reales, en producción. No hay mejor entrenamiento. Y tiene dos ventajas extra: si encuentras algo, te pagan, y cada reporte válido es prueba tangible de que sabes hacer el trabajo. Un reclutador que ve que tienes reportes aceptados en HackerOne no necesita más pruebas de que sabes encontrar vulnerabilidades reales.
Eso sí, sé honesto con las expectativas: el bug bounty es duro y al principio puedes pasar meses sin encontrar nada. No lo hagas por el dinero rápido. Hazlo porque es el entrenamiento más parecido al trabajo real que existe. Si quieres arrancar bien, tengo una guía completa para empezar en el bug bounty hunting, y otra sobre cómo redactar tu primer informe de pentesting, que es justo el formato que necesitas para tus reportes.
Proyecto 4: escaneo de vulnerabilidades con Nessus
El cuarto proyecto es montar una red vulnerable y escanearla con una herramienta profesional de gestión de vulnerabilidades. La más usada en el mundo real es Nessus, aunque también tienes Qualys u OpenVAS. Estas son las herramientas que se usan de verdad en las empresas para descubrir vulnerabilidades a escala.
Monta el escenario en tu laboratorio: una máquina víctima vulnerable como Metasploitable, tu Kali como atacante, y Nessus como escáner. Lanza un escaneo completo de vulnerabilidades contra la máquina víctima y deja que Nessus te saque el listado de todo lo que encuentra. A partir de ahí, no te quedes en el escaneo. Coge las vulnerabilidades más críticas, verifícalas manualmente, e incluso practica explotándolas.
Y documéntalo: qué encontró el escáner, cuáles confirmaste, y una propuesta de remediación para cada una.
Lo bueno de este proyecto es que aprendes a usar una herramienta que vas a tener delante en el trabajo real. Poder decir en una entrevista que has trabajado con Nessus y que sabes interpretar un informe de vulnerabilidades te pone por delante. Y si además lo montas sobre un entorno en la nube como Azure, sumas experiencia en cloud, que es de lo más demandado.
Proyecto 5: simulación de ransomware y plan de respuesta a incidentes
El quinto proyecto es el más completo desde el punto de vista defensivo: simular un ataque de ransomware en tu entorno y, a partir de ahí, construir un plan de respuesta a incidentes. Es decir, no solo lanzas el ataque, sino que actúas como el equipo de seguridad que tiene que detectarlo, contenerlo y recuperarse de él.
Monta el escenario en tu laboratorio: una máquina con un EDR o un SIEM monitorizándola, y desde tu Kali lanza una simulación de ataque. Puedes usar herramientas de detección como Elastic, o EDRs que tienen versiones de prueba. La idea es que el ataque genere actividad, que tu sistema de detección la capture, y que tú documentes toda la cadena: cómo entró, qué tocó, cómo lo detectaste y cómo responderías. Con eso construyes el plan de respuesta a incidentes: los pasos concretos que seguiría una empresa para contener el ataque, erradicarlo y recuperar los sistemas.
Lo bueno de este proyecto es que te enseña a pensar como un analista de seguridad de verdad. No solo a ver el ataque, sino a saber qué hacer cuando ocurre. Y el plan de respuesta a incidentes es un documento que las empresas valoran muchísimo, porque demuestra que entiendes el proceso completo, no solo la parte técnica.
El error que hace que tus proyectos no sirvan de nada
Bien. Ya tienes los cinco proyectos. Cinco proyectos gratis, este fin de semana, con tu portátil.
Pero si te has quedado solo con la lista, te has perdido lo importante. Y no quiero que te pase.
Voy a ser muy sincero contigo. Me escriben muchas personas que me dicen: «Pablo, llevo un año haciendo máquinas y proyectos y no consigo ni una entrevista». Y cuando miro su currículum, casi siempre es lo mismo. El trabajo está hecho. Pero está contado de forma errónea. Listas de herramientas. Palabras sueltas. Nada que haga parar a nadie.
No es que no tengan experiencia. Es que no la están demostrando.
Y esto conecta con algo que un responsable de seguridad con más de veinte años en el sector decía, y que se me quedó grabado: la gente en ciberseguridad rara vez falla por lo técnico. Falla por cómo lo comunica. La técnica se aprende. Comunicar lo que sabes también, pero casi nadie lo entrena.
Así que quédate con esto, que es el criterio que puedes aplicar a cualquier proyecto que hagas en tu vida, no solo a estos cinco. Antes de escribir la línea en tu currículum, tu proyecto tiene que responder tres preguntas:
- ¿Qué hiciste exactamente?
- ¿Qué conseguiste o qué detectaste?
- ¿Sabrías defenderlo si te preguntan en una entrevista?
Si un proyecto responde bien a las tres, ya vale como línea de CV. Si falla en alguna, todavía no está listo. Y precisamente por eso el siguiente paso es aprender a contarlo: te enseño el paso a paso en mi guía para crear tu CV de ciberseguridad. Porque de nada sirve el mejor laboratorio del mundo si en el papel queda como una palabra suelta.
Preguntas frecuentes sobre proyectos de ciberseguridad
1. ¿Qué proyectos de ciberseguridad puedo hacer sin experiencia?
Puedes montar cinco muy potentes solo con tu portátil: tu propio laboratorio de hacking con Kali y máquinas vulnerables, un home SOC lab con detección de amenazas, bug bounty en objetivos reales, escaneo de vulnerabilidades con Nessus, y una simulación de ransomware con plan de respuesta a incidentes. Todos son gratuitos y demuestran habilidades que las empresas buscan de verdad.
2. ¿Por qué los proyectos valen más que los cursos para conseguir empleo?
Porque un curso solo demuestra que viste algo; un proyecto demuestra que sabes aplicarlo. Un proyecto bien documentado transmite tres cosas a la vez al reclutador: iniciativa (lo hiciste sin que te obliguen), capacidad de aplicar lo aprendido, y comunicación (lo documentaste). Eso es justo lo que separa a un junior que contratan de uno que descartan.
3. ¿Qué es un home SOC lab y cómo lo monto?
Es un centro de operaciones de seguridad montado en casa: un sistema que recoge logs, aplica reglas de detección y lanza alertas ante actividad sospechosa. Se monta con herramientas gratuitas como Wazuh o el stack de Elastic. Instalas el SIEM, lo conectas a una máquina, generas un ataque desde Kali y configuras las alertas para que te lleguen a Telegram o Discord.
4. ¿Es legal hacer bug bounty?
Sí, siempre que actúes dentro de un programa que te autoriza expresamente y respetes su alcance. Plataformas como HackerOne, Bugcrowd o Intigriti definen qué puedes atacar y qué no. Salirte de ese alcance sí es ilegal, así que lee bien las reglas de cada programa antes de empezar. Dentro del alcance autorizado, es una práctica legítima y muy valorada.
5. ¿Cuál es la diferencia entre un laboratorio y el bug bounty?
En un laboratorio o en Hack The Box atacas entornos preparados para ser vulnerados, donde sabes que hay algo que encontrar. En bug bounty atacas sistemas reales en producción, donde nadie te garantiza que exista una vulnerabilidad: tienes que encontrarla tú. Esto último es exactamente lo que harás en una auditoría real cuando trabajes para una empresa.
6. ¿Qué herramienta uso para escanear vulnerabilidades en mi proyecto?
La más usada en el mundo real es Nessus, aunque también tienes Qualys u OpenVAS. Montas una máquina víctima vulnerable como Metasploitable, lanzas un escaneo completo y obtienes el listado de hallazgos. Lo importante es no quedarte ahí: verifica manualmente las vulnerabilidades críticas y propón una remediación para cada una en tu documentación.
7. ¿Necesito saber programar para hacer estos proyectos?
No para empezar. Los cinco proyectos se centran en montar entornos, usar herramientas y documentar, no en programar desde cero. Ahora bien, saber algo de scripting (por ejemplo, automatizar tareas con Python) suma mucho valor y te permite enriquecer los proyectos. Puedes ir aprendiéndolo sobre la marcha mientras construyes tu laboratorio.
8. ¿Cómo documento un proyecto de ciberseguridad para el CV?
Trátalo como un trabajo real. Documenta la arquitectura, lo que hiciste, las reglas o configuraciones que creaste y los resultados con capturas. Antes de escribir la línea en tu CV, comprueba que el proyecto responde a tres preguntas: qué hiciste exactamente, qué conseguiste o detectaste, y si sabrías defenderlo en una entrevista. Si falla en alguna, aún no está listo.
9. ¿Cuánto tardo en montar estos proyectos?
Cada proyecto puedes arrancarlo en un fin de semana con tu portátil, aunque perfeccionarlos y documentarlos bien lleva algo más. El bug bounty es la excepción: aprendes rápido a reportar, pero encontrar tu primera vulnerabilidad válida puede llevar semanas o meses. No lo hagas por el dinero rápido, sino por el entrenamiento, que es el más parecido al trabajo real.
10. ¿Estos proyectos sirven para perfiles ofensivos y defensivos?
Sí, cubren ambos mundos. El laboratorio de hacking, el bug bounty y el escaneo de vulnerabilidades tiran hacia el perfil ofensivo (pentesting, hacking ético). El home SOC lab y la simulación de ransomware con plan de respuesta van hacia el defensivo (analista SOC, blue team). Puedes elegir según el rol al que aspires o hacer varios para demostrar versatilidad.