Metodología de investigación
Por qué buscamos, cómo mejoramos y por qué tú también puedes hacerlo
"No encontramos vulnerabilidades porque seamos más listos. Encontramos
vulnerabilidades porque tenemos un método, porque fallamos rápido, y porque
cada error nos enseña algo nuevo."
¿Por qué existe esta metodología?
La seguridad informática es una carrera constante entre defensores y
atacantes. El código moderno es enorme, complejo y está lleno de suposiciones
no documentadas — millones de líneas, cientos de contribuidores y
funcionalidades que se superponen de formas inesperadas. Esta metodología no
es un manual rígido: es una forma de navegar ese caos sin perder la cabeza.
El Andamiaje Mínimo
En lugar de intentar auditar todo un proyecto a la vez, el proceso se apoya
en cinco pasos:
1. Acotar el alcance. Un endpoint, un componente o un flujo
de datos concreto — nunca el proyecto entero de una sola vez.
2. Modelo de amenazas. Qué debería estar protegido, quién
podría atacarlo y qué podría salir mal, antes de tocar nada.
3. Preguntas específicas. En vez de "¿es esto seguro?", se
formulan preguntas accionables: "¿cómo romperías esto?", "asume que hay un
error aquí, ¿cuál es?".
4. Verificación. Ningún hallazgo se da por bueno sin
reproducirlo de forma independiente.
5. Documentación y difusión. Cada hallazgo se convierte en
un informe claro y una lección aprendida para la próxima investigación.
Por qué mejorar constantemente
Cada vulnerabilidad encontrada enseña algo nuevo sobre el propio proceso de
búsqueda. El ciclo es simple: encontrar un hallazgo, analizar cómo se
encontró, mejorar el método, y repetir. La mejora no viene de ser más
inteligente, sino de tener un proceso que permite aprender de los aciertos y
de los errores por igual.
Por qué cualquiera puede hacerlo
La investigación de seguridad no es un club exclusivo. Hace falta
curiosidad, un método sistemático, herramientas (LLMs, curl, razonamiento
propio) y comunidad — compartir lo que se encuentra para que otros no
empiecen desde cero.
Principios
Andamiaje mínimo frente a sobreingeniería. Preguntas específicas frente a
preguntas vagas. Verificación frente a especulación. Comunidad frente a
individualismo.
