Python para ciberseguridad: 20 proyectos prácticos para aprender automatización, redes y análisis de seguridad

Python es uno de los lenguajes más útiles para aprender ciberseguridad de forma práctica. Su sintaxis sencilla, su ecosistema de librerías y su integración con Linux lo convierten en una herramienta ideal para automatizar tareas defensivas, analizar logs, revisar configuraciones, procesar archivos, consultar APIs, generar reportes, trabajar con evidencias y construir pequeños laboratorios de seguridad.

La biblioteca estándar de Python incluye módulos muy útiles para seguridad defensiva, como hashlib, ssl, socket, json, csv, argparse, logging, subprocess y venv, lo que permite crear herramientas completas sin depender siempre de paquetes externos.

Antes de empezar: reglas éticas y técnicas

Todos los proyectos de esta guía deben ejecutarse únicamente en laboratorios propios, servidores autorizados o entornos de aprendizaje. No escanees redes ajenas, no recolectes datos de terceros y no automatices pruebas sin permiso. El objetivo es aprender seguridad defensiva, no intrusión.

mkdir python-ciberseguridad
cd python-ciberseguridad
python3 -m venv .venv
source .venv/bin/activate
python -m pip install --upgrade pip

1. Analizador de logs de Linux

El primer proyecto consiste en leer archivos como /var/log/auth.log, /var/log/syslog o salidas exportadas de journalctl para identificar errores, accesos fallidos, usuarios, direcciones IP y patrones repetidos.

import re
from collections import Counter
from pathlib import Path

log = Path("auth.log").read_text(errors="ignore")
ips = re.findall(r"(?:\d{1,3}.){3}\d{1,3}", log)

for ip, total in Counter(ips).most_common(10):
print(ip, total)

2. Detector de intentos fallidos de SSH

Este proyecto amplía el anterior: analiza logs de autenticación y genera alertas cuando una IP supera cierto número de intentos fallidos en un periodo. Es útil para comprender cómo funcionan ataques de fuerza bruta, pero desde una perspectiva defensiva.

También puedes generar un archivo compatible con herramientas de firewall o SIEM, pero sin bloquear automáticamente al inicio. Primero observa, valida y luego automatiza.

3. Inventario de puertos autorizados en tu propia red

Un proyecto clásico es construir un inventario de puertos abiertos en servidores propios. Se puede hacer con socket para entender lo básico o integrando herramientas como Nmap en un entorno autorizado. El objetivo no es “atacar”, sino documentar qué servicios están expuestos.

4. Verificador de certificados TLS

Muchas caídas de servicios ocurren por certificados vencidos. Con Python puedes crear una herramienta que revise dominios propios, fecha de expiración del certificado, emisor, nombre común, SAN y versión TLS.

El módulo ssl de Python permite trabajar con TLS/SSL sobre sockets, por lo que puedes crear un verificador simple sin instalar herramientas externas.

# Objetivo:
# 1. Conectar a dominio:443
# 2. Leer certificado
# 3. Extraer fecha de expiración
# 4. Alertar si vence en menos de 30 días

5. Auditor de cabeceras HTTP de seguridad

Este proyecto revisa si tus sitios web usan cabeceras como Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options y Referrer-Policy. OWASP mantiene una guía específica sobre cabeceras HTTP de seguridad y su utilidad para reforzar aplicaciones web.

Con requests puedes consultar URLs internas o públicas de tu organización y generar un reporte. La documentación de Requests lo describe como una librería HTTP simple para Python, con API orientada a realizar solicitudes de forma directa.

Strict-Transport-Security
Content-Security-Policy
X-Frame-Options
X-Content-Type-Options
Referrer-Policy
Permissions-Policy

6. Monitor de procesos sospechosos con psutil

Con psutil puedes revisar procesos, CPU, memoria, discos, red y sensores desde Python. Su documentación lo describe como una librería multiplataforma para obtener información de procesos en ejecución y uso del sistema, útil para monitoreo, profiling y administración de procesos.

El proyecto consiste en crear una línea base de procesos esperados y alertar cuando aparezcan procesos fuera de lista, consumo anormal de CPU o conexiones de red inusuales.

7. Verificador de integridad de archivos

Este proyecto genera hashes de archivos críticos y luego compara cambios. Es útil para aprender integridad, línea base y detección de modificaciones no autorizadas. Python incluye hashlib para hashes seguros y digestos de mensajes.

import hashlib
from pathlib import Path

def sha256_file(path):
h = hashlib.sha256()
with open(path, "rb") as f:
for chunk in iter(lambda: f.read(8192), b""):
h.update(chunk)
return h.hexdigest()

print(sha256_file(Path("/etc/hosts")))

8. Escáner local con YARA para archivos sospechosos

YARA es una herramienta muy usada por investigadores de malware para identificar y clasificar muestras mediante reglas. Su documentación explica que yara-python permite compilar reglas y aplicarlas desde scripts Python.

El proyecto defensivo consiste en escanear una carpeta de evidencias, adjuntos descargados o muestras controladas usando reglas YARA conocidas y reportar coincidencias. No necesitas manipular malware real para aprender: puedes crear reglas de prueba con archivos benignos.

9. Analizador de capturas PCAP con Scapy

Scapy es una herramienta y librería de Python para crear, enviar, capturar, diseccionar y manipular paquetes de red. Su documentación indica que puede usarse de forma interactiva o como biblioteca para trabajar con tráfico de red.

En modo defensivo, puedes analizar archivos PCAP ya capturados para identificar protocolos, IPs más activas, puertos frecuentes, paquetes DNS, conexiones TCP o tráfico anómalo. No necesitas capturar tráfico de terceros: usa PCAPs de laboratorio o tráfico propio.

- Contar paquetes por protocolo
- Listar IPs origen y destino frecuentes
- Detectar consultas DNS repetitivas
- Identificar puertos más usados
- Exportar resumen a CSV o JSON

10. Convertidor simple de eventos a reglas Sigma

Sigma es un formato abierto para escribir reglas de detección en YAML que luego pueden convertirse a consultas para distintas plataformas SIEM. La documentación oficial explica que una regla Sigma contiene información para detectar comportamientos extraños, malos o maliciosos al inspeccionar logs.

El proyecto consiste en tomar un evento sospechoso de laboratorio, describirlo en YAML y generar una plantilla Sigma básica. Esto enseña pensamiento Blue Team: qué log necesito, qué campo uso, qué condición dispara una alerta y cómo evitar falsos positivos.

title
id
status
description
logsource
detection
falsepositives
level
tags

11. Consultor de vulnerabilidades con la API de NVD

NIST mantiene la National Vulnerability Database y documentación para APIs de vulnerabilidades. La página de desarrolladores de NVD explica el uso de servicios REST JSON para consultar CVE y metadatos asociados.

El proyecto consiste en consultar CVE relacionados con productos que usas en tu laboratorio, guardar resultados en JSON, filtrar por severidad, fecha o palabra clave y generar un reporte para priorización.

12. Clasificador de eventos según MITRE ATT&CK

MITRE ATT&CK ofrece una base de conocimiento de tácticas, técnicas y procedimientos adversarios, además de recursos para ayudar a defensores a desarrollar analíticas y detecciones.

El proyecto consiste en crear una pequeña herramienta que tome eventos de seguridad y los etiquete manualmente con tácticas o técnicas ATT&CK. No se trata de automatizar atribución, sino de aprender a pensar en términos de comportamiento: acceso inicial, ejecución, persistencia, evasión, descubrimiento, movimiento lateral o exfiltración.

13. Auditor SSH defensivo con Paramiko

Paramiko es una implementación de SSHv2 en Python que proporciona funcionalidad de cliente y servidor. Su documentación incluye el uso de SSHClient y ejecución remota de comandos mediante canales cifrados.

El proyecto defensivo consiste en conectarte a tus propios servidores mediante llaves SSH y ejecutar comandos de solo lectura para verificar versión, usuarios con sudo, estado de firewall, servicios fallidos y espacio en disco.

14. Revisor de configuración segura de Linux

Este proyecto crea una herramienta de hardening básico que revisa archivos de configuración y comandos de estado: SSH, firewall, usuarios, permisos, actualizaciones, servicios habilitados y logs. No cambia nada: solo informa.

15. Buscador defensivo de secretos en archivos de proyecto

Un riesgo común en empresas es subir claves, tokens, contraseñas o credenciales a repositorios. Este proyecto busca patrones sensibles en carpetas propias: claves API, tokens, cadenas tipo password=, archivos .env y claves privadas.

El objetivo no es robar secretos, sino detectarlos antes de que se publiquen. El resultado puede ser un reporte local y una recomendación: mover secretos a variables de entorno, gestores de secretos o configuración segura.

password=
api_key=
secret=
token=
BEGIN PRIVATE KEY
AWS_ACCESS_KEY_ID

16. Validador de backups y restauración

La seguridad no termina en la detección. Si no puedes restaurar, no tienes continuidad. Este proyecto verifica existencia, fecha, tamaño, hash y estructura mínima de respaldos.

También puedes crear una prueba controlada: tomar un backup pequeño, restaurarlo en una carpeta temporal y validar que los archivos esperados existan.

17. Generador de reportes de incidentes

En ciberseguridad no basta con detectar: hay que documentar. Este proyecto genera un reporte en Markdown, HTML o PDF con línea de tiempo, evidencias, IPs, hashes, usuarios afectados, acciones tomadas y recomendaciones.

Es ideal para practicar respuesta a incidentes en laboratorio. Puedes alimentarlo con resultados de tus proyectos anteriores: logs, hashes, CVE, eventos SSH y alertas.

18. Mini recolector de telemetría con OpenTelemetry

OpenTelemetry es un marco open source y neutral para instrumentar, generar, recolectar y exportar telemetría como trazas, métricas y logs. Su documentación de Python explica cómo usar APIs y SDKs para generar y recolectar datos de telemetría.

El proyecto consiste en instrumentar una pequeña aplicación Python para generar logs estructurados, métricas simples y trazas de operaciones. Es una forma excelente de conectar programación, observabilidad y seguridad.

19. Analizador seguro de URLs sospechosas

Este proyecto revisa URLs sin visitarlas en un navegador real: longitud, dominio, uso de IP directa, caracteres extraños, número de subdominios, presencia de palabras sospechosas y esquema HTTPS. No debe descargar contenido peligroso ni ejecutar scripts.

La idea es aprender heurísticas defensivas para triage inicial de phishing, siempre complementando con herramientas profesionales y análisis humano.

20. Orquestador de tareas defensivas

El proyecto final une todo: un pequeño orquestador que ejecute varias comprobaciones de seguridad y genere un reporte consolidado. Puede revisar logs, certificados, puertos, procesos, integridad de archivos, CVE relevantes, cabeceras HTTP y backups.

Ruta de aprendizaje sugerida

Librerías útiles para estos proyectos

Errores comunes al aprender ciberseguridad con Python

Preguntas clave

Recomendamos

En resumen

Python es una herramienta extraordinaria para aprender ciberseguridad práctica. Con 20 proyectos bien diseñados puedes dominar automatización, análisis de logs, redes, PCAP, YARA, Sigma, consultas CVE, monitoreo, SSH defensivo, hardening, detección, reportes e integración con conceptos de SOC.

La clave es mantener un enfoque ético y defensivo: trabajar en laboratorios propios, documentar resultados, no ejecutar pruebas sin permiso y convertir cada script en una herramienta útil para reducir riesgos reales.