Awesome SOC

Un manual operativo y base de conocimiento para construir, operar y madurar un SOC (incluyendo CSIRT). Cubre:

• Fundamentos del SOC
• ingeniería de detección
• inteligencia de amenazas
• métricas/KPI del SOC
• automatización del SOC
• casos de uso de IA y buenas prácticas
• SOP (playbooks del SOC)

Estas son mis opiniones, basadas en mi propia experiencia como analista de SOC/CSIRT y gestor de equipo, así como en documentos reconocidos. El enfoque está más en el SOC que en el CERT/CSIRT.

Mi lema es: sin reacción (respuesta), la detección es inútil.

NB: En términos generales, SOC aquí se refiere a la actividad de detección, y CERT/CSIRT a la actividad de respuesta a incidentes. CERT es una marca registrada (anteriormente) estadounidense muy conocida, gestionada por CERT-CC, pero prefiero el término CSIRT ya que se refiere precisamente a la respuesta a incidentes.

Tabla de contenidos

• Lectura obligatoria
• Conceptos fundamentales
• Medios críticos (herramientas/sensores)
• Interioridades/núcleo del SOC
• IA (ML, LLM, GenAI, IA agéntica)
• Vigilancia de TI/seguridad
• SOAR
• Ingeniería de detección
• Inteligencia de amenazas
• Playbooks/SOP
• Métricas del SOC (KPI/SLA)
• Gestión del SOC
• RRHH y formación
• Arquitectura de TI
• Para ir más lejos (próximos pasos)
• Apéndice

Lectura obligatoria

Para un SOC

• Construcción del SOC:
  • MITRE, 11 estrategias para un SOC de clase mundial (o usa el archivo local): parte 0 (Fundamentos).
  • FIRST, Construir un SOC
  • NCSC, Construir un SOC
  • Gartner, Guía del modelo SOC
  • Splunk, Estado de la seguridad 2025
  • Microsoft, Protege tu negocio con 365
• Formación del SOC para entrevistas:
  • LetsDefend Preguntas de entrevista para analista de SOC
• Gestión del SOC:
  • FIRST, ISO 27035 Valor práctico para CSIRT y SOC
  • SANS, Encuesta SOC 2025
  • SOC CMM, Métricas del SOC
  • Gartner, Guía de mercado para detección y respuesta gestionadas
• Evaluación del SOC:
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Purple teaming continuo

Para un CERT/CSIRT

• Visión general:
  • SANS, Respuesta a incidentes
  • FlexibleIR, Fases de RI
• Construcción del CSIRT:
  • FIRST, CERT-in-a-box
  • FIRST, Marco de servicios del CSIRT
• Gestión de la respuesta a incidentes de seguridad:
  • ENISA, Buenas prácticas para la gestión de incidentes
  • EE-ISAC Whitepaper de respuesta a incidentes
  • LinkedIn Pulse, Gestión de incidentes de seguridad según ISO 27035
  • Microsoft/EY/Edelman, Guía de referencia de respuesta a incidentes
  • Microsoft, Lecciones de RI sobre el compromiso de identidades en la nube
• Forense:
  • NIST, SP800-86, integración de técnicas forenses en la RI
  • ForensicsArtefacts
  • ForensicsWiki
• Playbooks y metodología de respuesta a incidentes:
  • Kaspersky, Playbook de respuesta a incidentes: brechas en la dark web
  • CISA, Playbooks de respuesta a incidentes
  • CERT-SG, Metodología de respuesta a incidentes