Qué es un SOC y cuál es su misión

Siete de la mañana. En una pantalla, la cola con 43 alertas pendientes; en otra, el chat del equipo, donde el turno de la noche escribió a las 5:12 "ojo con la VPN de contabilidad, sigue rara". Eso es un SOC un martes cualquiera.

Qué significa SOC

SOC son las siglas en inglés de Security Operations Center, centro de operaciones de seguridad. Es el equipo, con sus procesos y herramientas, que vigila de forma continua los sistemas de una organización para detectar amenazas, analizarlas y coordinar la respuesta. Hay SOC de tres personas que trabajan desde la casa y SOC de cientos de analistas repartidos en varios países; el trabajo de fondo es el mismo.

La palabra que importa es operaciones. El SOC no diseña la red ni redacta las políticas; hace el día a día de la defensa.

La misión

La misión se cuenta en tres pasos que se repiten todo el día:

1. Detectar: notar pronto que algo anormal ocurre, por ejemplo un inicio de sesión de la contadora desde otro país a las 3 de la mañana o un powershell.exe lanzado por Excel.
2. Analizar: entender qué pasó, a quién afecta y qué tan grave es. La mayoría de las alertas terminan siendo actividad legítima; separar ese ruido de lo real es el oficio del analista.
3. Responder: contener, coordinar con otros equipos y documentar para que la organización aprenda.

Lo que más cuesta al principio es el segundo paso.

Qué vigila un SOC

Sin registros no hay SOC. Las fuentes más comunes son:

• Inicios de sesión de servidores, del directorio y de servicios en la nube.
• Telemetría de las laptops y servidores: procesos, archivos y conexiones.
• Registros del firewall, del proxy web y de la VPN.
• El correo: mensajes bloqueados, adjuntos y enlaces.
• Los reportes de los propios empleados.

Todo eso se concentra en el SIEM y el EDR, que verá en el módulo 2. Un hueco típico en pymes: la VPN no manda registros a ningún lado, y cuando hay un problema nadie sabe quién se conectó.

Un poco de historia

Antes del SOC estaba el NOC (Network Operations Center), que cuidaba que la red funcionara, no que fuera segura. Estos hitos marcaron el cambio:

Año	Hito
1988	El gusano Morris afecta a miles de computadoras conectadas a internet y lleva a crear el CERT/CC en la Universidad Carnegie Mellon, uno de los primeros equipos de respuesta
1990	Nace FIRST, el foro que reúne a equipos de respuesta de todo el mundo
2005	La consultora Gartner populariza el término SIEM para las plataformas que concentran registros
2013	Se acuña el término EDR para las herramientas que vigilan cada equipo
2015	MITRE publica ATT&CK, el catálogo de técnicas de atacantes que hoy usan casi todos los SOC

En Costa Rica, el CSIRT-CR se creó en 2012 como equipo nacional de respuesta. En 2022, los ataques de ransomware contra instituciones públicas llevaron a declarar una emergencia nacional.

Por qué importa

Un atacante que nadie ve puede pasar semanas copiando datos o preparando un ransomware para el viernes en la noche. El SOC existe para acortar ese tiempo. Además, en banca y procesamiento de pagos los contratos exigen monitoreo continuo y registro de cada incidente.

Para usted, el SOC es de las pocas áreas de seguridad que contrata gente sin experiencia previa en el puesto, si sabe leer una alerta y escribir un ticket claro.

Dónde se usa

Lugar	Ejemplo de lo que vigila
Bancos y cooperativas	Accesos a banca en línea y fraudes
Gobierno	Ataques a instituciones públicas, coordinados con el CSIRT nacional
Comercio electrónico	Robo de cuentas de clientes y datos de pago
Hospitales	Ransomware que paraliza sistemas clínicos
MSSP	Servicio de SOC para decenas de clientes a la vez

Un día típico

El turno empieza con el traspaso: el turno saliente cuenta qué quedó abierto. Después el analista toma alertas de la cola y las cierra o las escala, anota qué regla hace demasiado ruido y, al final, escribe el informe para el siguiente turno.

El error que más veo en la primera semana es saltarse el traspaso para "ganar tiempo". Luego aparece una alerta que el turno anterior ya investigaba, y se repite el trabajo o se cierra algo pendiente.

Conceptos clave

Concepto	Qué significa
Evento	Cualquier cosa que un sistema registra: un inicio de sesión, un archivo creado, una conexión
Alerta	Aviso que genera una regla cuando un evento o un grupo de eventos parece sospechoso
Incidente	Alerta confirmada que afecta de verdad la seguridad de la organización
Triaje	Revisión rápida de una alerta para decidir si es real y qué tan urgente es
Falso positivo	Alerta que saltó, pero la actividad era legítima
Playbook	Procedimiento escrito, paso a paso, para atender un tipo de alerta
IOC	Indicador de compromiso: una IP, un dominio o un hash ligado a actividad maliciosa
Escalamiento	Pasar un caso al siguiente nivel con la evidencia reunida