¿Puede un sprint de cuatro semanas realmente llevarte a seguridad?

La gente lo pregunta mucho después de ver posts de "entra en ciberseguridad en 30 días". La respuesta honesta: cuatro semanas no te harán empleable desde cero, pero definitivamente pueden sacarte del atolladero si ya estás rondando el campo y no has encontrado tracción. El sprint funciona como una función forzada, no como un atajo.

Qué cuatro semanas pueden realísticamente producir

Si estás comenzando desde casi cero antecedentes técnicos, cuatro semanas te hace cómodo con un shell de Linux, conceptos básicos de redes (subneting, TCP/UDP, el modelo OSI en práctica más que en teoría), y quizá un recorrido guiado de una máquina principiante en TryHackMe o HTB. Eso es todo. No es nada, pero tampoco es un conjunto de habilidades listo para el trabajo.

Si ya tienes algo de experiencia en programación o IT, cuatro semanas es suficiente para ir de "he leído sobre pentesting" a "he rooteado ocho máquinas y puedo explicar qué hice". Esa es una posición significativamente diferente cuando estás hablando con un gerente de contratación o solicitando un rol de help desk con aspiraciones de seguridad.

El plan que realmente funciona

Semana 1: conceptos fundamentales de redes y Linux, sin herramientas aún. Familiarízate con ip a, netstat -tulpn, ss, reglas básicas de iptables, y autenticación por clave SSH. Haz esto en una VM real, no solo leyendo. Si no puedes explicar qué es un three-way handshake sin notas en el día 7, quédate aquí más tiempo.

Semana 2: elige una dirección y profundiza en lugar de expandirte. La mayoría debería elegir entre conceptos básicos de aplicaciones web (comienza con OWASP's Juice Shop) o un lenguaje de scripting (Python, específicamente requests, socket, y argparse para que puedas escribir pequeñas herramientas de reconocimiento). Intentar hacer ambas en una semana significa que no aprendes ninguna.

Semana 3: práctica estructurada en una plataforma con writeups, la ruta "Offensive Pentesting" de TryHackMe o el tier Starting Point de HTB. Completa al menos cinco máquinas. Escribe tus propias notas para cada una antes de revisar un writeup — incluso notas malas son mejor que nada, porque el acto de escribir te obliga a articular qué pasó realmente versus qué crees que pasó.

Semana 4: consolida en algo visible. Elige tus dos mejores máquinas y escribe un writeup adecuado en un blog o sitio de GitHub Pages. Añade un resumen corto de tus notas de Linux y redes. Esta semana se trata de convertir cuatro semanas de esfuerzo disperso en dos o tres artefactos que un reclutador o gerente de contratación pueda realmente ver.

Dónde la gente desperdicia el tiempo

El mayor modo de fallo es saltar entre herramientas — rebotando entre Nmap, Burp Suite, Metasploit, y cinco videos "guía completa" diferentes en YouTube sin terminar una sola máquina de principio a fin. Elige menos herramientas y úsalas hasta que sean aburridas. Nmap con -sC -sV -p- y una comprensión sólida de lo que cada flag devuelve supera un paso superficial sobre diez scanners diferentes.

El segundo modo de fallo es saltarse las notas porque parece más lento que solo ver un walkthrough. No es más lento de ninguna manera que importe. Una persona que completa cinco máquinas con notas reales retiene más que alguien que ve veinte walkthroughs pasivamente.

Qué cuatro semanas no arreglará

No arreglará un currículum con cero experiencia relevante. No te conseguirá un trabajo de pentesting directo — la mayoría de roles de nivel inicial en seguridad ofensiva aún esperan un año o dos de trabajo en IT, sysadmin, o help desk primero, o una titulación más prácticas. Lo que hace es darte suficiente señal real para decidir si esta ruta es realmente para ti antes de hundirte seis meses y un voucher de Security+ en ella.

Tampoco reemplazará el conocimiento fundamental de informática. Si no sabes qué es un proceso, cómo funciona el direccionamiento de memoria en un nivel básico, o por qué sucede un buffer overflow, cuatro semanas de hacking de máquinas se sentirá como memorizar hechizos en lugar de entender un sistema. Presupuesta tiempo separado para eso, incluso si son solo algunas horas a la semana junto con el sprint.

Decidir si funcionó

Al final de cuatro semanas, hazte una pregunta concreta: ¿puedes tomar un objetivo Linux desconocido sin writeup y obtener un foothold en dos horas? Si es sí, has construido habilidad real y el sprint se ganó su nombre. Si es no, está bien también — simplemente significa que la semana cinco se parece más a la semana tres, no un pivote a algo nuevo.

Si este modelo de sprint es útil, Korra Studio tiene walkthroughs sobre conceptos fundamentales de Linux y conceptos básicos de aplicaciones web al estilo OWASP que funcionan bien con las semanas uno y dos arriba.