¿Qué hace un analista SOC en un día de trabajo real?

¿Qué es un SOC?

El SOC (Security Operations Center) es el equipo responsable de monitorear e identificar incidentes de seguridad de la información en tiempo real. El equipo generalmente trabaja por turnos, revisando alertas de varios sistemas e investigando cualquier anomalía. La estructura varía entre organizaciones, pero la idea es similar: identificar una amenaza rápidamente y prevenir daños.

Inicio del turno y traspaso

Un turno comienza con un traspaso del turno anterior: qué incidentes están abiertos, qué hay de nuevo y qué requiere seguimiento. Un buen analista lee la documentación cuidadosamente y conoce la situación antes de abordar una nueva alerta.

Recepción de alertas del sistema SIEM

Un sistema SIEM recopila registros de muchas fuentes (Endpoint, Firewall, Server, Cloud) e identifica eventos basados en reglas. Cuando se recibe una alerta, el analista ve información inicial: origen, destino, usuario, tiempo y la regla activada.

Proceso de triaje inicial

La primera tarea es el triaje, una clasificación inicial. ¿Es la alerta crítica? ¿Es relevante? ¿Parece una actividad legítima? El analista usa su conocimiento del entorno, el historial del usuario y el conocimiento general de amenazas para tomar una decisión rápida.

Investigación de usuarios, estaciones de trabajo y red

Un evento que parece anómalo requiere una investigación profunda. El analista verifica lo que hizo el usuario antes y después del evento, qué procesos se ejecutaron en la estación de trabajo, si hubo conexiones inusuales a la red y qué archivos se tocaron en el sistema.

Identificación de falsos positivos

Una gran parte del trabajo es la identificación rápida de falsos positivos: alertas que parecen sospechosas pero reflejan una actividad legítima. Una actualización del sistema, un escaneo programado de TI o un usuario que trabaja desde una nueva VPN, todo esto puede parecer un incidente. Un buen analista identifica los patrones rápidamente.

Documentación del incidente

Cada incidente se documenta: qué se identificó, cómo se investigó, qué se decidió y qué se ejecutó. Una buena documentación permite al siguiente turno, a otro investigador o a una auditoría futura comprender el curso de los acontecimientos.

Escalada a equipos avanzados

Si un incidente parece crítico o el analista no está seguro, lo escala a un nivel más avanzado, generalmente Nivel 2 o un equipo de Incident Response. Allí la experiencia es más profunda y las herramientas son más completas.

Trabajo con procedimientos y Playbooks

La mayoría de los SOC operan según Playbooks: escenarios de acción definidos para tipos de incidentes comunes. Los procedimientos garantizan una respuesta consistente y de alta calidad, incluso cuando el equipo está en un turno ajetreado.

Las herramientas que un analista SOC debe conocer

SIEM (Splunk, QRadar, Sentinel), EDR (CrowdStrike, Defender, SentinelOne), plataformas de análisis de red, sistemas de ticketing y bases de datos de inteligencia de amenazas. Cada organización elige un conjunto diferente, pero los conceptos son similares.

¿Qué habilidades se requieren para el puesto?

Además del conocimiento técnico, se requiere paciencia, atención al detalle, capacidad para documentar claramente, buen juicio bajo presión y voluntad de aprender constantemente. Las nuevas amenazas aparecen todo el tiempo, y un analista debe mantenerse actualizado.

¿Es el puesto de SOC adecuado para principiantes?

SOC es uno de los puntos de entrada más comunes al mundo de la ciberseguridad. Los puestos de Junior SOC Analyst están diseñados para personas que están comenzando, lo que les permite adquirir experiencia en sistemas reales. Como en cualquier puesto, la colocación real depende del conocimiento, la práctica, el rendimiento y los requisitos del empleador.

¿Cómo prepararse para una entrevista de SOC?

Prepárese para preguntas sobre TCP/IP, procesos de autenticación, tipos comunes de amenazas (Phishing, Malware, Lateral Movement) y ejemplos de Playbooks. El uso de escenarios hipotéticos, '¿Qué harías si...?', es muy común en las entrevistas de entrada.

Preguntas frecuentes