El SOC y sus niveles

Un Security Operations Center (SOC) es el equipo y las instalaciones responsables de supervisar, detectar, investigar y responder a las amenazas de seguridad durante todo el día.

El SOC incorpora telemetría de todo el entorno y convierte las señales sin procesar en decisiones prácticas. Entre sus responsabilidades principales se incluyen:

• Supervisar registros, tráfico de red y datos de endpoints
• Detectar actividades sospechosas o maliciosas
• Clasificar e investigar alertas
• Responder y coordinarse durante los incidentes

La mayoría de los SOC utilizan un modelo por niveles para distribuir el trabajo y adaptar la dificultad al nivel de conocimientos. Las alertas ascienden según su gravedad y complejidad:

• Nivel 1 — clasificación y gestión inicial de alertas
• Nivel 2 — investigación más profunda de las alertas escaladas
• Nivel 3 — caza de amenazas, análisis de malware y análisis forense avanzado

Esta estructura permite que los analistas sénior se concentren en los problemas más difíciles, mientras el ruido rutinario se filtra desde el principio.

Los analistas de Nivel 1 están en primera línea. Supervisan la cola de alertas, realizan el triaje inicial y deciden si una alerta es un falso positivo, una actividad benigna o algo que merece ser escalado.

Siguen procedimientos documentados y rara vez improvisan. Entre sus habilidades clave se incluyen leer registros rápidamente, reconocer patrones de ataque comunes y mantener los tickets con rigor.

Un buen analista de Nivel 1 descarta rápidamente el ruido y escala las amenazas reales con notas claras y completas.

Los analistas de Nivel 2 gestionan las alertas escaladas desde el Nivel 1. Investigan con mayor profundidad, correlacionan eventos entre distintas fuentes de datos y determinan el alcance y el impacto.

Consultan distintos registros para responder preguntas como: ¿Qué ocurrió primero? ¿Qué hosts y cuentas están implicados? ¿Se accedió a los datos o se exfiltraron?

El Nivel 2 suele dirigir las primeras decisiones de contención durante un incidente activo.

El Nivel 3 es la capa de mayor experiencia: cazadores de amenazas, analistas de malware y especialistas en análisis forense.

• Caza de amenazas — búsqueda proactiva de amenazas que evadieron la detección
• Análisis de malware — ingeniería inversa de binarios sospechosos
• Análisis forense — reconstrucción de la actividad del atacante a partir del disco, la memoria y los registros

El Nivel 3 también mejora las detecciones incorporando sus hallazgos al conjunto de reglas.

La plataforma SIEM (gestión de información y eventos de seguridad) es el sistema nervioso central del SOC. Recopila, normaliza y correlaciona registros de numerosas fuentes, y genera alertas basadas en reglas de detección.

Fuentes de registros habituales que alimentan un SIEM:

Las herramientas SOAR (orquestación, automatización y respuesta de seguridad) automatizan tareas repetitivas del SOC. Reducen la fatiga de los analistas y aceleran la respuesta.

Automatizaciones habituales:

• Enriquecer automáticamente una alerta con inteligencia de amenazas y contexto del activo
• Consultar una URL o un hash en servicios de reputación
• Aislar un host mediante el EDR con un solo clic
• Abrir y actualizar tickets automáticamente

La automatización se ocupa del trabajo mecánico para que las personas se concentren en tomar decisiones.

Las amenazas no respetan el horario laboral, por lo que los SOC aspiran a ofrecer cobertura 24/7. Existen dos modelos habituales:

• Turnos rotativos — los analistas locales trabajan en turnos de día, tarde y noche
• Follow-the-sun — traspasos entre SOC de distintas zonas horarias para que cada uno trabaje durante las horas de luz

Unas notas sólidas de traspaso de turno son fundamentales para que el siguiente equipo herede el contexto y no la confusión.

Las organizaciones pueden crear un SOC interno o externalizarlo a un proveedor de servicios de seguridad gestionados (MSSP), a veces denominado MDR.

• Interno — conocimiento profundo del negocio y control total, pero mayor coste y carga de personal
• MSSP/MDR — cobertura rentable y amplia experiencia, pero menos conocimiento específico del entorno

Muchas organizaciones adoptan un modelo híbrido: personal interno de Nivel 2/3 y un MSSP que gestiona la monitorización de Nivel 1.

Una vía de escalado clara define quién debe participar y cuándo. Una alerta puede pasar del Nivel 1 al Nivel 2, y un incidente confirmado se escala a un comandante del incidente, al departamento jurídico, al equipo de comunicación y a la dirección.

Los niveles de gravedad definidos, por ejemplo, de SEV1 a SEV4, activan distintas expectativas de respuesta. Conocer la vía evita retrasos y pánico durante un incidente real.

Más allá de los distintos niveles, un SOC maduro incluye roles especializados:

• Responsable del SOC — se encarga del personal, los procesos y las métricas
• Ingeniero de detección — crea y ajusta las reglas de detección
• Analista de inteligencia de amenazas — realiza el seguimiento de los adversarios y aporta contexto
• Comandante del incidente — coordina la respuesta ante incidentes importantes

Estos roles permiten que el SOC siga mejorando en lugar de limitarse a reaccionar.

Compruebe sus conocimientos sobre la estructura de un SOC.

Ha aprendido cómo se estructura un SOC:

• Un SOC monitoriza, detecta, investiga y responde a las amenazas 24/7
• El Nivel 1 realiza el triaje de las alertas, el Nivel 2 investiga las escalaciones y el Nivel 3 realiza caza de amenazas y análisis forense
• El SIEM centraliza y correlaciona los registros; el SOAR automatiza el trabajo rutinario
• La cobertura se organiza mediante turnos rotativos o follow-the-sun, con traspasos sólidos
• Los SOC pueden ser internos, MSSP/MDR o híbridos, con vías de escalado claras y roles especializados

A continuación, seguirá una alerta a través del flujo de trabajo de triaje.