Triaje de alertas y flujo de trabajo del SOC

Los analistas del SOC son los primeros en responder a las alertas de seguridad. Su trabajo consiste en determinar rápidamente si una alerta representa una amenaza real, recopilar pruebas, escalar los incidentes auténticos y cerrar los falsos positivos a gran escala, a menudo gestionando docenas de alertas por turno.

Las alertas se clasifican por gravedad: P1 (crítica: compromiso activo), P2 (alta: ataque probable), P3 (media: actividad sospechosa), P4 (baja/informativa: incumplimiento de una política o configuración incorrecta).

Pasos de triaje para cada alerta: 1) Lea la alerta: ¿qué la activó? 2) Revise los registros sin procesar: ¿hay pruebas reales? 3) Evalúe el contexto: ¿quién, qué y dónde? 4) Determine si se trata de un positivo verdadero, un falso positivo o un positivo benigno.

Positivo verdadero (TP): la alerta se activó y la actividad es realmente maliciosa. Falso positivo (FP): la alerta se activó, pero la actividad es legítima. Positivo benigno: la alerta se activó ante una actividad inusual real que no es maliciosa (por ejemplo, una prueba de penetración o actividad administrativa).

Durante el triaje, recopile el contexto: ¿qué usuario? ¿qué host? ¿cuál es su función? ¿es este su comportamiento habitual? ¿qué ocurrió antes y después? Utilice conjuntamente el SIEM, EDR, la inteligencia sobre amenazas y el contexto de RR. HH. y TI.

Los playbooks son procedimientos documentados, paso a paso, para tipos habituales de alertas. Garantizan un triaje uniforme y repetible, y reducen la fatiga decisoria de los analistas. Cada tipo de alerta debería tener un playbook.

Cuando se confirma que una alerta es un positivo verdadero: escálela al equipo de respuesta a incidentes (P1/P2), documente los hallazgos (cronología, activos afectados y vector de ataque), preserve las pruebas antes de aplicar medidas correctivas y notifique a las partes interesadas según la matriz de escalamiento.

Cada alerta debe documentarse en un sistema de gestión de tickets (Jira, ServiceNow, TheHive): origen de la alerta, hallazgos del triaje inicial, clasificación (TP/FP), acciones realizadas y motivo del cierre. Esto crea un registro de auditoría y permite obtener métricas.

Métricas clave: tiempo medio de detección (MTTD), tiempo medio de respuesta (MTTR), volumen de alertas por gravedad, tasa de falsos positivos por regla y tickets cerrados por analista y turno. Utilice las métricas para identificar problemas de calidad de las reglas y carencias de personal.

El cambio de turno es fundamental: documente los incidentes abiertos, las investigaciones en curso y las reglas ajustadas recientemente. El analista entrante debe poder continuar exactamente desde el punto en que lo dejó el saliente, sin dejar brechas de cobertura.

Las tasas elevadas de falsos positivos agotan a los analistas y hacen que se descarten las alertas reales. Revise y retire periódicamente las reglas de bajo rendimiento. Una tasa de falsos positivos superior al 90 % en cualquier regla indica que necesita un ajuste o retirada inmediata.

Unas operaciones eficaces del SOC dependen de un triaje uniforme, playbooks documentados, vías de escalamiento claras y métricas rigurosas. Cada alerta debe tener una clasificación final documentada. Reduzca los falsos positivos de forma constante para mantener la atención de los analistas centrada en las amenazas reales. El MTTD y el MTTR son las métricas de referencia: miden la rapidez con la que detecta y responde a incidentes reales.