LecturaBienvenida al curso
Bienvenido a Introducción al SOC: su primer turno como analista. Casi todas las personas que hoy trabajan en un SOC de una zona franca en Heredia o en una oficina en Escazú entraron por la misma puerta: el turno de nivel 1, frente a una cola de alertas donde la mayoría resulta ser ruido y unas pocas no lo son. Este curso lo sienta en esa silla con las alertas de Cafetal Digital, una empresa ficticia, para que su primer turno pagado no sea también el primero que vive.
Qué va a lograr
- Explicar qué hace un SOC, cómo se reparte el trabajo entre L1, L2 y L3 y qué se le pide a cada nivel.
- Distinguir qué le cuenta el SIEM, qué le cuenta el EDR y dónde entran el SOAR, el ticket y la inteligencia de amenazas.
- Clasificar alertas como verdaderos o falsos positivos y justificar la decisión con evidencia, no con intuición.
- Darle prioridad a una alerta según el activo afectado, no solo según la severidad que trae la regla.
- Seguir playbooks de phishing, fuerza bruta y malware, y ubicar cada caso en el ciclo NIST.
- Escribir un escalamiento, un ticket y un informe de turno que el siguiente analista entienda sin llamarlo a la casa.
Para quién es y qué necesita
Es para quien viene de soporte técnico, de informática o de otra área y busca su primer puesto defensivo. No necesita programar ni haber tocado un SIEM. Conviene haber hecho Introducción a la ciberseguridad, pero no es requisito.
Para practicar necesita:
- Un navegador y un editor de texto. Papel y lápiz también sirven.
- Sesiones de 30 a 45 minutos. No instala nada: las alertas vienen dentro de las lecciones, en JSON, tal como las vería en una consola.
Cómo está organizado
| Módulo | Qué aprende | Laboratorio |
|---|---|---|
| 1. Qué es un SOC | Misión e historia del SOC, roles L1 a L3, turnos, métricas MTTD y MTTR, SOC interno o MSSP | Mapear el flujo de una alerta |
| 2. Herramientas del SOC | SIEM y sus búsquedas, EDR, SOAR, ticketing, inteligencia de amenazas y herramientas libres | Leer alertas de un SIEM en JSON |
| 3. Triaje y análisis | Verdaderos y falsos positivos, priorización, reputación con VirusTotal y AbuseIPDB, playbooks | Triaje de cinco alertas |
| 4. Respuesta y carrera | Ciclo NIST, escalamiento, informe de turno, primer empleo y la conclusión del curso | Ticket e informe de fin de turno |
| Evaluación | 6 preguntas sobre todo el curso | Aprueba con 70 % |
Cómo aprovecharlo
Casi todas las lecciones cierran con una pregunta corta que no da puntos: sirve para saber si puede avanzar. Lo que cuenta son los cuatro laboratorios, donde abre alertas en crudo, decide y escribe el ticket. Cada uno trae una solución comentada.
Haga el laboratorio antes de mirar la solución, aunque su ticket quede feo. El analista nuevo que escribe diez tickets malos y los compara con uno bueno aprende más rápido que el que lee veinte ajenos.
Al aprobar la evaluación final (70 % o más) recibe el certificado y la insignia del curso, además de la XP de cada lección.
Tiempo estimado
El curso completo toma unas 5 horas. Un ritmo que funciona: una lección por sesión y, para cada laboratorio, 30 minutos sin teléfono ni chat, lo más parecido a media hora de turno con la cola llena.