Awesome SOC

Un manual operativo y base de conocimiento para construir, operar y madurar un SOC (incluyendo CSIRT). Cubre:

• Fundamentos del SOC
• ingeniería de detección
• inteligencia de amenazas
• métricas/KPI del SOC
• automatización del SOC
• casos de uso de IA y buenas prácticas
• SOP (playbooks del SOC)

Estas son mis opiniones, basadas en mi propia experiencia como analista y jefe de equipo de SOC/CSIRT, así como en documentos reconocidos. El enfoque está más en el SOC que en el CERT/CSIRT.

Mi lema es: sin reacción (respuesta), la detección es inútil.

NB: En términos generales, aquí SOC se refiere a la actividad de detección, y CERT/CSIRT a la actividad de respuesta a incidentes. CERT es una marca registrada estadounidense (antigua) bien conocida, gestionada por CERT-CC, pero prefiero el término CSIRT ya que se refiere precisamente a la respuesta a incidentes.

Tabla de contenidos

• Lectura obligatoria
• Conceptos fundamentales
• Medios críticos para la misión (herramientas/sensores)
• Interioridades/núcleo del SOC
• IA (ML, LLM, GenAI, Agentic AI)
• Vigilancia de TI/seguridad
• SOAR
• Ingeniería de detección
• Inteligencia de amenazas
• Playbooks/SOP
• Métricas del SOC (KPI/SLA)
• Gestión del SOC
• RRHH y formación
• Arquitectura de TI
• Para ir más allá (próximos pasos)
• Apéndice

Lectura obligatoria

Para un SOC

• Construcción del SOC:
  • MITRE, 11 strategies for a world-class SOC (o usa el archivo local): parte 0 (Fundamentos).
  • FIRST, Building a SOC
  • NCSC, Building a SOC
  • Gartner, SOC model guide
  • Splunk, State of Security 2025
  • Microsoft, Secure your business with 365
• Formación del SOC para entrevistas:
  • LetsDefend SOC analyst interview questions
• Gestión del SOC:
  • FIRST, ISO 27035 Practical value for CSIRT and SOCs
  • SANS, 2025 SOC survey
  • SOC CMM, SOC Metrics
  • Gartner, Market Guide for Managed Detection and Response
• Evaluación del SOC:
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Continous purple teaming

Para un CERT/CSIRT

• Visión general global:
  • SANS, Incident Response
  • FlexibleIR, IR phases
• Construcción de un CSIRT:
  • FIRST, CERT-in-a-box
  • FIRST, CSIRT Services Framework
• Gestión de respuesta a incidentes de seguridad:
  • ENISA, Good practice for incident management
  • EE-ISAC Incident Response whitepaper
  • LinkedIn Pulse, Security incident management according to ISO 27035
  • Microsoft/EY/Edelman, Incident response reference guide
  • Microsoft, IR lessons on cloud ID compromise
• Forense:
  • NIST, SP800-86, integration forensics techniques into IR
  • ForensicsArtefacts
  • ForensicsWiki
• Playbooks y metodología de respuesta a incidentes:
  • Kaspersky, Incident Response Playbook: Dark Web Breaches
  • CISA, Incident Response playbooks
  • CERT-SG, Incident Response Methodology