Qué es un SOC y cómo se trabaja en un centro de operaciones de seguridad

Qué es un SOC

SOC son las siglas de Security Operations Center, o centro de operaciones de seguridad. Es la función de una organización encargada de detectar, analizar y responder a incidentes de ciberseguridad de forma continua. Puede ser un equipo propio, un servicio contratado a un tercero o una mezcla de ambos.

Su idea central es sencilla: los sistemas de una empresa generan registros constantemente (inicios de sesión, conexiones de red, procesos que se ejecutan). El SOC reúne esa información, busca señales de actividad sospechosa y decide qué hacer cuando encuentra algo.

Qué hace un SOC en el día a día

• Monitorización: vigilar las alertas que llegan de las herramientas de seguridad.
• Triage: decidir rápido cuáles alertas son reales, cuáles son falsos positivos y cuáles son urgentes.
• Investigación: reunir evidencia de varias fuentes para entender qué ocurrió realmente.
• Respuesta a incidentes: contener el problema, erradicarlo y recuperar el servicio.
• Caza de amenazas (threat hunting): buscar actividad hostil que las alertas automáticas no detectaron.
• Mejora continua: ajustar reglas de detección y aprender de cada incidente.

Herramientas habituales

Aunque cada organización usa productos distintos, casi todos los SOC se apoyan en las mismas categorías de herramientas:

• SIEM: centraliza los registros de muchos sistemas, los correlaciona y genera alertas.
• EDR: software en los equipos (portátiles, servidores) que observa procesos y permite aislar una máquina comprometida.
• SOAR: automatiza tareas repetitivas, como enriquecer una alerta con datos de reputación de una IP.
• Inteligencia de amenazas: listas y contexto sobre atacantes y técnicas conocidas.
• Marcos de referencia como MITRE ATT&CK, que describe las técnicas que usan los atacantes y sirve para organizar las detecciones.

Una herramienta no sustituye al análisis. Un SIEM bien conectado pero mal ajustado produce miles de alertas inútiles; el valor del SOC está en saber interpretarlas.

Cómo se organiza un SOC

Muchos SOC dividen el trabajo por niveles de experiencia. No es una regla universal, pero ayuda a entender las carreras posibles:

• Nivel 1: recibe las alertas, hace el triage inicial y escala lo que no puede resolver.
• Nivel 2: investiga a fondo los incidentes escalados y coordina la contención.
• Nivel 3: caza amenazas, analiza malware o ataques complejos y mejora las detecciones.
• Responsable del SOC: gestiona el equipo, los procesos y la relación con el resto de la organización.

Las fases de la respuesta a un incidente

El ciclo de respuesta a incidentes más extendido (el de NIST) se resume en cuatro fases:

1. Preparación: tener herramientas, procedimientos y personas listas antes de que ocurra algo.
2. Detección y análisis: confirmar el incidente y entender su alcance.
3. Contención, erradicación y recuperación: frenar el avance, eliminar la causa y volver a la normalidad.
4. Actividad posterior al incidente: documentar lo aprendido y corregir lo que falló.

Cómo se mide un SOC

Dos medidas aparecen siempre: el tiempo medio de detección (MTTD, cuánto tarda el equipo en darse cuenta de un ataque) y el tiempo medio de respuesta (MTTR, cuánto tarda en contenerlo). También se vigila la proporción de falsos positivos, porque un equipo saturado de alertas falsas pierde las verdaderas.

Cómo empezar a formarte para trabajar en un SOC

1. Aprende los fundamentos: redes (TCP/IP, DNS, HTTP), sistemas Windows y Linux, y cómo se registran los eventos.
2. Entiende la telemetría: qué datos genera un sistema y cuáles importan para detectar un ataque.
3. Practica el triage con casos realistas: ver una alerta, reunir evidencia y justificar una decisión.
4. Conoce MITRE ATT&CK para hablar el mismo idioma que el resto del sector.
5. Practica la respuesta a incidentes en simulaciones, donde equivocarse no tiene consecuencias.

La ruta SOC y Ciberdefensa de HackToGo sigue este orden, desde la telemetría hasta la respuesta a incidentes, con simulaciones guiadas.

Preguntas frecuentes