Cómo aprender hacking ético desde cero: ruta paso a paso

Saber cómo aprender hacking ético desde cero es más difícil que encontrar recursos: hay demasiados y casi ninguno te dice qué hacer el lunes por la mañana. Esta guía es un plan semana a semana para unos seis meses, pensado para alguien que dedica entre 8 y 10 horas semanales y no tiene experiencia previa en informática profesional.

Si buscas una visión rápida de las grandes fases, la tienes en nuestra guía práctica para empezar en hacking ético. Aquí bajamos al detalle: objetivos concretos, recursos para cada bloque y una forma de comprobar que has asimilado lo aprendido antes de avanzar.

Antes de empezar: tu laboratorio y tus notas

Dos cosas que conviene tener listas el primer día:

• Un laboratorio legal. Una máquina virtual con Kali Linux o Parrot OS en VirtualBox o VMware. Todo lo que ataques será tuyo o de plataformas que te autorizan. Si no sabes instalarla, sigue nuestra guía de Kali Linux para principiantes.
• Un sistema de notas. Obsidian, CherryTree o simples ficheros Markdown. Cada comando que aprendas, con un ejemplo y para qué sirve. En cualquier examen práctico, tus notas serán tu mejor herramienta.

Ruta para aprender hacking ético desde cero: fase 1, fundamentos (semanas 1 a 8)

Semanas 1 y 2: Linux en la terminal

Objetivo: moverte por el sistema de archivos, gestionar permisos, buscar ficheros y leer logs sin interfaz gráfica.

• Juega los niveles de Bandit en OverTheWire. Intenta llegar al nivel 20.
• Comandos clave: ls, cd, find, grep, chmod, ssh, tuberías y redirecciones.

Semanas 3 y 4: redes

Objetivo: explicar con tus palabras qué ocurre desde que escribes una URL hasta que ves la página. Modelo TCP/IP, puertos, DNS, DHCP, subredes.

• Curso de introducción de Cisco Networking Academy o los vídeos de Professor Messer.
• Captura tu propio tráfico con Wireshark y localiza una consulta DNS y un saludo TCP.

Semanas 5 y 6: la web por dentro

Objetivo: entender peticiones y respuestas HTTP, cookies, sesiones y cabeceras. Empieza los primeros temas de PortSwigger Web Security Academy.

Semanas 7 y 8: scripting básico

Objetivo: escribir un script en Bash que recorra una lista de IPs y otro en Python que haga peticiones HTTP. No necesitas ser desarrollador, pero sí automatizar tareas repetitivas.

Control de la fase 1: si puedes explicar qué es un puerto, qué hace un servidor DNS y qué viaja en una cookie, y resolver Bandit hasta un nivel medio sin mirar soluciones, estás listo.

Fase 2: práctica guiada (semanas 9 a 16)

Semanas 9 a 12: rutas guiadas

Entra en TryHackMe y sigue sus rutas de iniciación. Aquí descubres el ciclo completo de una intrusión: reconocimiento, enumeración, explotación y escalada de privilegios. Al mismo tiempo, sigue avanzando en PortSwigger con inyección SQL y XSS.

Semanas 13 a 16: metodología y herramientas básicas

Ahora sí, aprende bien unas pocas herramientas en lugar de muchas a medias:

• Escaneo: Nmap. Entiende la diferencia entre un escaneo SYN y uno completo.
• Descubrimiento web: ffuf o Gobuster con diccionarios de SecLists.
• Proxy web: Burp Suite (edición Community) o Caido.
• Escalada de privilegios: PEASS-ng y GTFOBins.

Si quieres profundizar en cada una, tienes una guía dedicada a las mejores herramientas de hacking ético para principiantes.

Control de la fase 2: comprometer una máquina fácil de principio a fin sin pistas y escribir un informe corto con los pasos.

Fase 3: autonomía (semanas 17 a 26)

Semanas 17 a 22: máquinas sin guía

Pasa a Hack The Box o a máquinas de VulnHub en tu laboratorio local. Apunta a dos o tres máquinas fáciles por semana. Cuando termines (o tras varias horas atascado), compara tu enfoque con el vídeo de IppSec o el writeup de 0xdf. Ahí es donde más se aprende.

Semanas 23 a 26: especialización inicial y primera certificación

Elige una dirección: web, infraestructura y Active Directory, o defensa. Y si quieres una meta medible, prepara una certificación práctica de entrada como la eJPT. Tienes una comparativa completa en certificaciones de hacking ético.

Errores habituales al aprender desde cero

• Coleccionar herramientas. Instalar cien utilidades no te hace mejor. Dominar cinco, sí.
• Mirar la solución demasiado pronto. Ponte un límite (por ejemplo, 45 minutos atascado) antes de pedir una pista.
• Saltarse los fundamentos. Casi siempre que alguien "no avanza" en las máquinas, el problema está en redes o en Linux.
• Practicar fuera de un entorno autorizado. Además de ilegal, no aporta nada que no te dé un laboratorio.

Preguntas frecuentes

¿Cuánto se tarda en aprender hacking ético desde cero?

Depende de tus horas y tu base. Con unas 8 a 10 horas semanales, este plan te lleva a resolver máquinas fáciles por tu cuenta en unos seis meses. Llegar a un nivel profesional suele requerir bastante más práctica.

¿Puedo aprender sin saber informática?

Sí, pero no te saltes la fase 1. Es precisamente la que compensa la falta de experiencia previa.

¿Necesito pagar alguna plataforma?

No es imprescindible. Puedes completar casi todo este plan con recursos gratuitos; tienes una lista en cursos de hacking ético gratis y más material en la sección Aprender.

¿Qué hago si me atasco semanas en una fase?

Vuelve al control de la fase anterior. Si no lo superas con soltura, refuerza esa base antes de seguir.

Si prefieres no montar el plan tú solo, nuestro curso Hacking ético desde cero recorre esta misma ruta en 8 módulos, en español y paso a paso. El precio de lanzamiento será de 29 € (después, 49 €) y ya puedes apuntarte a la lista de espera.