Triage en el SOC: Cómo priorizar alertas sin perderse un incidente real
El Triage en el SOC es un proceso de filtrado y evaluación inicial de una alerta para determinar qué es urgente, qué requiere una investigación profunda y qué se puede cerrar. La decisión no se basa solo en la severidad que mostró el sistema, sino en una combinación de la criticidad del activo, la sensibilidad del usuario, la fiabilidad de la señal, la técnica detectada, el alcance de la actividad y el posible impacto.
En un turno de SOC, el analista no puede investigar cada alerta con la misma profundidad y en el mismo orden. La cola de alertas sigue llenándose, algunas señales se repiten y un incidente real puede ocultarse entre decenas de alertas con una severidad similar. El objetivo del Triage es decidir rápidamente dónde enfocar la atención, sin que la velocidad se convierta en un atajo peligroso.
El Triage no es una investigación completa. Es una fase corta que genera una imagen inicial: qué sucedió, quién o qué está afectado, cuán fiable es el dato, si existe un peligro inmediato y cuál es el siguiente paso. Microsoft Sentinel, por ejemplo, centraliza en un incidente alertas, entidades, severidad, estado y mapeo ATT&CK, pero la responsabilidad de evaluar el contexto recae en el analista.
El método de este artículo se basa en cinco factores: activo, identidad, comportamiento, fiabilidad e impacto. Es adecuado para diferentes productos SIEM y se puede convertir en una tabla de decisión o en tareas de Incidente predefinidas. El uso consistente del método también facilita la transferencia de turnos y la revisión retrospectiva.
