Laboratorio de Informes Técnicos de Seguridad — Diagnóstico, Redacción y Evaluación

Proyecto educativo auto-contenido que simula escenarios de seguridad y provee herramientas para redactar, evaluar y medir informes técnicos. Incluye servicios vulnerables (con fines didácticos), una API para métricas e indicadores, plantillas de informe y un verificador automático de calidad documental.

Objetivos de aprendizaje

• Transformar hallazgos técnicos en redacción clara, precisa y orientada a la acción.
• Estructurar informes con título, resumen técnico, evidencia, impacto y recomendaciones.
• Incorporar trazabilidad: responsables, fechas, prioridades y seguimiento.
• Definir indicadores (KPIs) para medir efectividad posterior de los informes.
• Practicar un metaanálisis del informe entregado y proponer mejoras de diseño documental.

Estructura

cybersecurity-reporting-lab/
├─ docker-compose.yml
├─ README.md
├─ postman_collection.json
├─ backend_insecure/
│  ├─ app/
│  │  ├─ main.py
│  │  ├─ db.py
│  │  ├─ models.py
│  │  ├─ security.py
│  │  └─ routes/
│  │     ├─ auth.py
│  │     ├─ upload.py
│  │     ├─ admin.py
│  │     └─ metrics.py
│  ├─ requirements.txt
│  └─ Dockerfile
├─ tools/
│  ├─ report_checker.py
│  └─ kpi_loader.py
├─ templates/
│  ├─ plantilla_informe.md
│  └─ checklist_redaccion.md
└─ samples/
   ├─ sample_report_bueno.md
   └─ sample_report_malo.md

Puesta en marcha rápida (Docker)

docker compose up --build
# API expuesta en http://localhost:8000
# Docs interactivas: http://localhost:8000/docs

Alternativa local sin Docker (Python 3.11+):

cd backend_insecure
python -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
uvicorn app.main:app --reload --host 0.0.0.0 --port 8000

Endpoints clave

• POST /auth/login → autenticación sin límite de intentos y sin MFA (simulado didáctico)
• POST /upload → carga de archivos sin validación de tipo/extension (simulado, no ejecuta)
• GET /admin/users → lista usuarios con contraseñas en texto plano (escenario didáctico)
• POST /metrics/incidents y GET /metrics/summary → indicadores y seguimiento
• GET /health → estado del servicio

Nota: Las vulnerabilidades están simuladas para fines educativos en entorno local. No usar en producción.

Flujo sugerido de práctica

1. Interactúa con la API y genera evidencia técnica (capturas, respuestas, logs).
2. Redacta un informe usando templates/plantilla_informe.md.
3. Ejecuta tools/report_checker.py para un pre-chequeo de calidad documental.
4. Define KPIs y cárgalos a la API con tools/kpi_loader.py para medir impacto.
5. Entrega una síntesis ejecutiva y un plan de seguimiento con responsables y plazos.

Licencia

MIT — Uso estrictamente educativo.