Amazon
MCP Seguro
Guía práctica para quien construye servidores MCP en producción. Código, autenticación, permisos y lo que casi nadie implementa bien.
Libros, charlas, investigación
Publicaciones
Aquí está lo que he escrito, contado y publicado.
Pongo los libros primero, luego las charlas y al final la investigación.
Libros
Amazon
¿Cuántas APIs tienes realmente?
La mitad de las organizaciones no sabe cuántas APIs tiene desplegadas. Cómo detectar y gestionar las que nadie documentó, con herramientas open source y de bajo coste. Para tech leads y arquitectos hartos de descubrir APIs sorpresa en producción.
ePub
Hacking y manipulación de paquetes IPv4 con SCAPY
Cómo se construye y manipula un paquete IPv4 a mano. Para quien quiere entender el protocolo, no para quien busca recetas.
Charlas
RootedCON
MCP Enterprise Security: A Practical Architecture and Lessons to Avoid Being Pwned
Arquitectura práctica de seguridad para MCP en entornos empresariales y lecciones aprendidas para no ser comprometido. Con Alfonso Muñoz
RootedCON
When MCP goes Wrong - Que MCP no rompa tu seguridad
Seguridad en Model Context Protocol (MCP): cómo los errores de diseño e implementación pueden comprometer tu infraestructura. Con Alfonso Muñoz
RootedCON
Censorship, privacy and the fine art of disappearing without trace
Técnicas de privacidad, censura, anonimato y criptografía robusta. Con Dr. Alfonso Muñoz
Navaja Negra
Haciendo cosas divertidas con bases de datos
Formas no convencionales de explotar bases de datos: más allá de borrar datos o robar información
RootedCON
AWS, with its lambdas and its little things
Ejemplos reales de AWS Lambda. Buenas, malas y terribles prácticas. Con César Gallego
Navaja Negra
Protege tu Python… porque si es tan malo como suena, mejor que nadie lo vea
Técnicas para proteger código Python: desde métodos básicos hasta crear intérpretes personalizados de Python
Navaja Negra
Protegiendo Código Fuente Python
Técnicas para proteger código fuente Python al publicarlo: desde las más sencillas hasta compilar tu propio intérprete Python
PyConES
Asyncio en producción: lo que nadie te cuenta
Todo lo que he aprendido usando Python Asyncio en producción procesando millones de eventos al día: lo bueno, lo malo y lo feo
RSA Conference
Spreading Application Security Ownership Across the Entire Organization
Cómo distribuir la responsabilidad de seguridad en aplicaciones a través de toda la organización, más allá del equipo de seguridad
RootedCON
From the Heaven to Hell in the CI/CD
Vulnerabilidades críticas en pipelines CI/CD y cómo los atacantes pueden comprometer todo tu proceso de desarrollo y despliegue
RootedCON
Crawlino: The New Level of Crawling Systems
Sistema de crawling distribuido de alto rendimiento para reconocimiento y análisis de aplicaciones web a escala
RootedCON
Docker Might Not Be Your Friend - Trojanizing Docker Images
Cómo troyanizar imágenes Docker como un profesional y por qué tu registro de contenedores podría ser tu peor enemigo
OWASP Madrid
I Meetup OWASP Madrid
Charla técnica en el primer meetup del chapter OWASP Madrid sobre seguridad en aplicaciones web
RootedCON
Broker & MQ Injection
Introducción del concepto Broker Injection y presentación de Enteletaor, herramienta para inyectar, extraer y modificar información de Brokers como Redis, RabbitMQ o ZeroMQ
Cybercamp
Python, Hacking y Sec-tools desde las Trincheras
Workshop técnico sobre desarrollo de herramientas de seguridad con Python: desde scripts básicos hasta herramientas profesionales
Codemotion
Tu DevOp me da trabajo: Soy auditor de seguridad
Cómo los DevOps están creando nuevos vectores de ataque y vulnerabilidades que los auditores de seguridad tenemos que arreglar
Papers
Investigación
LAPIS: Lightweight API Specification for Intelligent Systems
Nuevo formato de especificación de APIs diseñado para LLMs. Reduce el overhead de tokens un 85.5% frente a OpenAPI YAML y un 88.6% frente a OpenAPI JSON, con resultados probados en GitHub, Twilio y DigitalOcean.
Investigación
Slow JSON Stream: A Low-Bandwidth Denial-of-Service Attack Against HTTP APIs with JSON Request Bodies
Ataque DoS de bajo ancho de banda contra APIs HTTP que aceptan cuerpos JSON. El atacante abre una conexión HTTP/1.1 chunked y envía un prefijo JSON válido a un byte por segundo, bloqueando el parser. 90% de los 41 targets evaluados son vulnerables con configuración por defecto.