“La defensa no empieza cuando detectas el ataque. Empieza cuando entiendes cómo piensa quien lo ejecuta.”
Analista junior de ciberseguridad enfocado en IA aplicada a la defensa: seguridad de modelos LLM locales y cloud, automatización de auditorías y análisis de logs con herramientas propias.
Áreas de Especialización
- Análisis de seguridad LLM en entornos locales y cloud — evaluación adversarial con MITRE ATT&CK, medición de censura y tasa de rechazo, monitorización de egress a proveedores de IA y auditoria de MCP/RAG
- Automatización de análisis y correlación con IA local — apoyo al análisis defensivo mediante IA aplicada a logs, documentación y correlación de eventos
- Detección y respuesta a incidentes — laboratorios y entornos de práctica con Sysmon, SIEM y correlación de eventos
- Forense digital y análisis de IOCs — extracción y análisis de indicadores de compromiso
- Seguridad wireless y SDR/RF — análisis de espectro radioeléctrico y comunicaciones
- Automatización de auditorías — PowerShell, Go, Python para seguridad defensiva
- Documentación y Playbooks — creación de runbooks y procedimientos operativos para respuesta a incidentes
Investigaciones Destacadas
| Análisis | Descripción |
|---|---|
| Análisis de malware Stealc | C2, RC4, técnicas de evasión y mapeo MITRE ATT&CK |
| Insider Threat Investigation | Investigación de amenaza interna: recopilación, timeline y correlación |
| Forense de memoria con Volatility3 | Dump y análisis de memoria RAM para extracción de procesos y evidencia |
| Análisis de logs Apache Tomcat | Detección de patrones anómalos en logs de acceso web |
| PCAP: webshell y exfiltración | Identificación de webshell y exfiltración de datos desde capturas de red |
| LLMNR/NBT-NS poisoning + SMB | Captura de credenciales y análisis de movimiento lateral |
| Análisis de logs con IA aplicada | Correlación de logs asistida por IA en Obsidian |
| Evaluación adversarial de LLM locales (CERBERUS) | Prompts estructurados mapeados a MITRE ATT&CK, puntuación determinista y juez LLM solo en la banda ambigua; agregados publicados en el dashboard de resultados |
| DAST con OWASP ZAP | Auditoría dinámica, hardening y validación de superficie de ataque |
| Análisis Banking Trojan | Ingeniería inversa y detonación de troyano bancario |
| USB Device Forensics | Forense de dispositivos USB con brave://device-log, Loxx y correlación de artefactos Windows |
Proyectos Destacados
Gravity-SOC — SOC distribuido ligero en Go. Correlación de eventos en tiempo real entre endpoints Windows y sensores de red. Generación automática de reportes PDF.
Auditing_with_PowerShell — Auditoría empresarial de Windows con un click: 10 módulos de análisis, detección de amenazas con severidad y nivel de riesgo global, interfaz web (FastAPI + vanilla JS) con historial y descargas JSON/CSV/PDF, protección CSRF y headers de seguridad. Modo headless para SIEM/CI. Capa IA opcional en la consola: veredictos Jev por amenaza con probabilidad de falso positivo, explicaciones técnicas y resumen ejecutivo generados por un LLM local solo loopback, informe enriquecido persistido en la carpeta de auditoría.
Ciber_Radar — Herramienta de apoyo para reconocimiento técnico, análisis de superficie y tareas de seguridad en movilidad. OSINT, escaneo WiFi y evaluación de vulnerabilidades.
Spectra — Consola de evaluacion WiFi: convierte una captura en un informe defendible con hallazgos, evidencia y cadena de custodia (firmwares Marauder, Evil-M5Project y Bruce, desde M5Stick). Fuentes serial/file/SD, historico SQLite, export CSV/JSON, exporter Splunk HEC, CLI unificada y Docker. Publicado en PyPI.
CERBERUS — Evaluación defensiva de LLMs locales ante prompts adversariales estructurados con MITRE ATT&CK: pipeline pasivo con puntuación determinista, juez LLM opcional en banda ambigua, informes MD/PDF y dashboard offline. FastAPI + vanilla JS.
Benchmarks LLM — Benchmarks de modelos de lenguaje locales (llama.cpp) y de nube: censura y tasa de rechazo, score multi-ambito, ejecuciones de subagentes y baterias de ciberseguridad. Herramienta en benchmarks-llm (Streamlit + Pandas + Plotly). La publicacion es un artefacto estatico filtrado en Cloudflare Pages, detras de Cloudflare Access con login de GitHub: sin respuestas crudas, sin rutas ni puertos y con alias para los modelos descensurados.
CERBERUS · resultados — Dashboard estático con los agregados de la evaluación CERBERUS: harm medio por táctica MITRE ATT&CK, distribución por nivel de detalle, reparto por bandas y una fila por técnica. Solo métricas: sin prompts ni respuestas del modelo. HTML + CSS + JS propios, protegido con Cloudflare Access.
Sec-Dashboard — Dashboard de seguridad local-first con 52 herramientas en 7 categorías, pipeline engine multi-fase, WebSocket en tiempo real y export JSON/PDF/CSV. Capa IA opcional por run: veredictos Jev (TypeSafe) con triaje automático, explicaciones en español de un LLM local solo loopback en todos los formatos de export, página Statistics y auditoría empresarial de Windows integrada como tool. FastAPI + vanilla JS.
Log-Viewer — Visor de Logs Unificado: sube y analiza logs de multiples formatos (comprimidos incluidos) con parseo, deteccion de patrones, datasets a SQLite y auditoria de acceso. FastAPI + SQLite + WebSocket, protegido con Cloudflare Access.
AGORA — Consola de decisiones tipadas (choice/score/noul): un estado y preguntas atómicas que devuelven probabilidades calibradas, servidas por varios backends locales (LAYAA en CPU, Eikos-4B) y JEV cloud opcional. Dos partes en una sola UI (GENERAL y SOC/SIEM), comparación de modelos, generación de la pregunta desde lenguaje natural con un LLM de chat local e informes PDF ejecutivos con gráficos. FastAPI + UI vanilla sin build, sin nube por defecto. Apache 2.0.
AI-NETWATCH — Monitor solo loopback de conexiones a proveedores cloud de IA: join Sysmon EID22 proceso→dominio→IP + SNI por tshark (TCP y QUIC/UDP 443), veredicto de autonomía (user-driven/autonomous/scheduled) con degradación honesta, aprobación shadow AI por proveedor, reglas deterministas y anomalía sobre baseline aprendido, triaje Jev vía proxy LLM local con dedup por firma, mapeo MITRE ATT&CK display-only y evidencia exportable (cadena de hashes + STIX 2.1). FastAPI + vanilla JS, cero dependencias externas (stdlib).
Blog + Wiki — Publicaciones de ciberseguridad en sammideblas.com y documentación técnica operativa en doc.sammideblas.com.
Stack
Análisis de Logs | Loxx | Klogg | Zap | Virtualización | Docker | Volatility | Sysmon | Go | PowerShell | Python | SDR/RF | llama.cpp | Strata