Bienvenida al curso

Bienvenido a SOC nivel 2: investigación de casos con KQL, EDR y Microsoft 365. En el nivel 1 decidía en pocos minutos si una alerta era ruido. Este curso empieza donde termina esa decisión: tomar la alerta que no pudo cerrar y convertirla en un caso con alcance, línea de tiempo y una decisión escrita. Los casos son de Distribuidora Guayabo y Café del Valle; las herramientas, las de un MSSP de zona franca: KQL en advanced hunting, telemetría de EDR, osquery, Velociraptor y los registros de Microsoft 365.

Qué va a lograr

• Investigar una alerta hasta el alcance real, pivotando por hash, cuenta, host e IP.
• Reconstruir un árbol de procesos desde telemetría de EDR o Sysmon y justificar si aísla el equipo.
• Consultar endpoints con osquery y recolectar artefactos con Velociraptor en su laboratorio.
• Analizar un compromiso de correo (BEC) en Microsoft 365: inicios de sesión de Entra, reglas y accesos al buzón.
• Diseñar un playbook SOAR que enriquece y espera aprobación humana antes de contener.
• Redactar un informe de caso con línea de tiempo en UTC y un resumen ejecutivo en inglés.

Para quién es y qué necesita

Es para el analista N1 que quiere pasar a N2. Requiere haber hecho Introducción al SOC: su primer turno como analista, SIEM con Wazuh: fundamentos y KQL para analistas: consultas en Microsoft Sentinel y Azure Data Explorer; sin ese KQL, los laboratorios se hacen cuesta arriba. Ayudan, sin ser requisito, Respuesta a incidentes: fundamentos, Sysinternals para el defensor y Análisis de phishing y seguridad del correo.

Para los laboratorios necesita:

• Un navegador y una cuenta Microsoft personal para el clúster gratuito de Azure Data Explorer (sin tarjeta ni suscripción).
• Una VM con Windows 11 (la evaluación de 90 días sirve) y otra con Ubuntu 24.04, con unos 8 GB de RAM libres, para osquery, Velociraptor y el playbook. Si su equipo no da, todo laboratorio se resuelve también con los datos descargados.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Del triaje a la investigación	El trabajo del N2, entidades y pivotes, línea de tiempo en UTC	De una alerta a un caso en Distribuidora Guayabo
2. EDR en la práctica	Qué ve un EDR, osquery, Velociraptor	El árbol de procesos de Café del Valle
3. Casos en Microsoft 365	Fuentes de M365 y Entra, anatomía de un BEC, contención	El pago desviado de Café del Valle
4. Automatizar y cerrar el caso	SOAR con aprobación humana, informe de caso	Un playbook que enriquece y abre el caso
Evaluación	10 preguntas de escenario y artefacto	Aprueba con 70 %

Cómo aprovecharlo

Casi todas las lecciones cierran con una pregunta corta que no da puntos: le dice si puede seguir. Donde se aprende es en los cuatro laboratorios, cada uno con un dataset propio y una misión verificable que usted confirma en el recuadro de comprobación. El writeup va detrás de las pistas. Escriba sus consultas aunque se equivoque tres veces: copiar la del writeup no enseña el join. Al aprobar la evaluación final recibe el certificado y la insignia del curso.

Tiempo estimado

El curso completo toma unas cuatro horas y media. Reserve una hora seguida para cada laboratorio; las demás lecciones caben de a una por sesión.