LecturaQué hace un analista N2
Un ticket llega a su cola con este texto: "Alerta: PowerShell con argumento codificado en gua-ws05. Severidad media. El N1 revisó, el binario no coincide con la app interna, escala a N2". Un analista N1 ya hizo lo suyo: miró la alerta, descartó que fuera la actualización de siempre y, al no poder cerrarla con confianza, la pasó. Ahí empieza su trabajo, con otra pregunta: "¿qué pasó, desde cuándo, hasta dónde llegó y qué hago al respecto?".
De la alerta al caso
En el nivel 1 la unidad de trabajo es la alerta: una fila en el SIEM o en el EDR que la regla marcó. En el nivel 2 la unidad es el caso: una hipótesis sobre lo que ocurrió, sostenida por evidencia de varias fuentes. Una alerta puede ser la puerta de entrada a un caso que toca diez equipos, o puede ser un caso de una sola línea. No lo sabe hasta que investiga el alcance.
El cambio de cabeza consiste en dejar de discutir si la regla acertó y preguntarse qué historia cuentan los datos. La regla disparó por una firma; usted reconstruye la secuencia. Esa reconstrucción es el caso.
La hipótesis y el alcance
Un N2 trabaja con hipótesis, no con certezas prestadas. Ante la alerta de gua-ws05, una hipótesis inicial sería: "una cuenta de servicio fue usada para mover una herramienta a varios equipos". A partir de ahí busca evidencia que la confirme o la tumbe. Si la evidencia dice que la herramienta solo tocó un equipo y era legítima, cambia la hipótesis sin pena.
El alcance es la pregunta que más decisiones desencadena. "¿Desde cuándo?" define cuánto hay que revisar hacia atrás. "¿En qué otros equipos o cuentas aparece el mismo artefacto?" define si esto es un host o media red. Casi todo lo que hará en este curso, los pivotes, las líneas de tiempo, las consultas, sirve para contestar esas dos preguntas.
Qué debe traer un buen escalamiento
Entre N1 y N2 se pierde tiempo cuando el ticket llega incompleto. Un escalamiento útil hacia N2 trae la alerta original, el equipo y la cuenta afectados, la hora en UTC, lo que el N1 ya comprobó y lo que no pudo. Cuando le toque escalar a usted, hacia respuesta a incidentes (IR) o hacia un N3, aplique la misma vara: diga qué confirmó, con qué evidencia y qué necesita del siguiente nivel. Escalar bien es entregar el trabajo hecho, para que el siguiente nivel no lo repita.
Las métricas que le van a medir
En N1 la métrica estrella suele ser el MTTA, el tiempo hasta atender una alerta. En N2 lo que importa se mueve hacia el tiempo hasta contener (cuánto tardó en frenar el daño) y la calidad del caso: ¿quedó el alcance bien definido?, ¿la causa raíz tiene evidencia?, ¿el informe sirve para que no vuelva a pasar? Un N2 que cierra rápido pero sin alcance deja casos a medio investigar que regresan en dos semanas.
El límite legal, siempre
Investigar da acceso a correos, archivos y sesiones de personas reales. Eso solo es legítimo dentro del mandato del SOC y sobre los sistemas de la organización que lo emplea. En Costa Rica, el acceso no autorizado a sistemas y datos está tipificado como delito informático en el Código Penal; la autorización de su empleador cubre los sistemas de la empresa, no los de terceros ni los personales de un empleado fuera de política. Ante la duda, pregunte antes de abrir.