¿Cómo escribir un ticket de investigación SOC profesional?
Un ticket de investigación SOC profesional debe permitir que otro analista entienda lo que sucedió, qué datos se examinaron, qué se encontró, qué aún se desconoce y cuál es la siguiente acción, sin una llamada de seguimiento. Una buena estructura incluye un resumen, alcance, línea de tiempo, evidencia, análisis, decisión, acciones de respuesta y recomendaciones. Es importante separar claramente los hechos, la interpretación y las suposiciones, y citar solo los campos de log relevantes.
En un SOC, el ticket no es un "resumen administrativo" que se completa al final. Es un producto profesional que acompaña la investigación, permite la escalada, mantiene la continuidad entre turnos y proporciona una base para mejorar la detección y las revisiones post-incidente. Una investigación excelente que no se documenta bien puede volverse irreproducible.
Sistemas como Microsoft Defender y Microsoft Sentinel permiten asignar un propietario, cambiar la severidad y el estado, añadir etiquetas, clasificación y comentarios. Las herramientas son importantes, pero la calidad de la documentación depende del método: ¿puede el lector distinguir entre los datos originales y una conclusión? ¿Sabe qué consultas se ejecutaron? ¿Se puede entender por qué la alerta se cerró o se escaló?
Esta guía presenta una plantilla adecuada para SIEM, sistemas de ticketing o gestión de casos, incluyendo un ejemplo de un ticket deficiente y una versión profesional.
