Triaje en un SOC: los primeros 15 minutos de una alerta
En un SOC el problema no es la falta de alertas, es el exceso. La diferencia entre un turno productivo y ahogarse está en tener un método para cada alerta, en vez de improvisar. Aquí va el que uso: cuatro pasos —validar, enriquecer, acotar, decidir— que en unos minutos te llevan de «ha saltado algo» a «sé qué hacer con esto».
1. Validar: ¿es real?
Antes de investigar nada, decide si la alerta merece tu tiempo. La mayoría de los cierres son por aquí:
- ¿Falso positivo conocido? Mira si esa regla ya tiene excepciones o un patrón habitual (un escáner interno, un backup nocturno).
- ¿La fuente es fiable? Una regla ruidosa con 500 alertas iguales pide ajuste, no 500 investigaciones.
- ¿Qué disparó exactamente la regla? Lee la lógica, no solo el título. Muchas alertas dicen menos de lo que parece.
2. Enriquecer: dale contexto
Una alerta cruda es un dato suelto. El contexto es lo que la convierte en una decisión. Reúne los indicadores (IP, dominio, hash, usuario, proceso) y enriquécelos:
- IP/dominio: ¿reputación? ¿geolocalización coherente con el usuario? ¿es infraestructura conocida?
- Hash de fichero: búscalo en fuentes de threat intel sin ejecutarlo.
- Usuario/activo: ¿quién es, qué permisos tiene, es un activo crítico o de laboratorio?
Al pasar indicadores a un ticket o al chat del equipo, defangéalos primero para que nadie abra por accidente una URL maliciosa.
Si la alerta es de phishing
Consigue el .eml y analízalo sin abrir enlaces: cabeceras, autenticación SPF/DKIM/DMARC, remitente e IOCs. Lo tienes paso a paso en esta guía y automatizado en el Triage de Email.
Si la alerta es de una vulnerabilidad
No todo CVE es tu emergencia. Cruza gravedad, probabilidad de explotación (EPSS), KEV y tu exposición real para saber si corre prisa —lo explico en «Qué CVE parchear primero» y con el «¿Me afecta a mí?».
3. Acotar: ¿hasta dónde llega?
Si tras enriquecer sigue en pie, delimita el alcance antes de escalar. Es la pregunta que más ayuda al siguiente analista:
- ¿Un host o varios? Busca el mismo indicador en el resto de la flota.
- ¿Cuándo empezó? El primer avistamiento marca la ventana temporal a revisar.
- ¿Se movió? Conexiones salientes, autenticaciones laterales, procesos hijos.
4. Decidir: cerrar, escalar o contener
Con lo anterior, la decisión casi se toma sola:
- Falso positivo → cierra y, si se repite, propón ajustar la regla. Cerrar bien también es trabajo.
- Real pero de bajo impacto → documenta y resuelve según el playbook.
- Real y serio → escala y, si procede, contén ya (aísla el host, bloquea el indicador). Ante la duda, contener y avisar es mejor que esperar.
Escribas lo que escribas, deja el rastro: qué viste, qué comprobaste y por qué decidiste. El «por qué» es lo que convierte un cierre en conocimiento reutilizable.
La idea
Validar → enriquecer → acotar → decidir. No es más lento que improvisar; es lo que evita que la alerta número 60 del turno te pille sin método. Y buena parte del enriquecimiento se hace en segundos con herramientas de navegador, sin instalar nada ni sacar datos del equipo.
Analista de Ciberseguridad · SOC · Especialista en Sentinel/KQL