Glosario SOC de ciberseguridad: lo que debes dominar saber

Glosario SOC ciberseguridad para principiantes y analistas en crecimiento.

¿Sin dominar este glosario? El analista SOC reacciona tarde, satura el SIEM y deja pasar señales críticas. Conocer los términos correctos acelera la detección, la contención y la recuperación. Este glosario SOC ciberseguridad reúne, con lenguaje claro y enfoque práctico, lo que se debe entender desde el primer día en un Centro de Operaciones de Seguridad.

1) SOC en 60 segundos

SOC (Security Operations Center): equipo, procesos y tecnología dedicados a monitorear, detectar, investigar y responder a incidentes de seguridad 24/7.
Objetivo: reducir el impacto de ataques optimizando MTTD/MTTR (ver métricas).
Componentes base: personas (tiers/roles), procesos (playbooks), tecnología (SIEM/EDR/NDR/HIDS/IDS/IPS/SOAR).

2) Roles del SOC (y por qué existen)

Tier 1 – Analista de monitoreo: triage inicial de alertas, priorización, escalado.
Tier 2 – Investigador: correlación avanzada, hipótesis, hunting puntual, contención táctica.
Tier 3 – Especialista/Threat Hunter: hunting proactivo, reglas detección, ingeniería detección.
Incident Responder: coordina contención, erradicación y recuperación junto con IT/negocio.
Ingeniero SIEM/SOAR: integra fuentes, normaliza, crea casos de uso/playbooks.
Threat Intel (TI): curación de IOCs, mapeo a MITRE ATT&CK, contexto de campañas.

3) Arquitectura y herramientas esenciales

SIEM (Security Information and Event Management): centraliza logs, correlaciona eventos, genera alertas, dashboards y reportes.
SOAR (Security Orchestration, Automation and Response): orquesta y automatiza respuestas (bloqueo IP, aislamiento host, ticketing).
EDR (Endpoint Detection and Response): telemetría y respuesta en endpoints (procesos, conexiones, hashes); aísla equipos.
NDR (Network Detection and Response): visibilidad/detección en red (flujo, comportamiento, detecciones sin firma).
IDS/IPS (Intrusion Detection/Prevention System): inspección de tráfico con firmas/heurística; IPS puede bloquear.
WAF/NGFW: protección a capa aplicación y firewall de nueva generación con inspección profunda.
UEBA: detección basada en comportamiento de usuarios/entidades.
TIP (Threat Intelligence Platform): consume/normaliza IOCs, STIX/TAXII, prioriza por riesgo y comparte contexto.

3.1) HIDS en detalle (¡imprescindible!)

HIDS (Host-based Intrusion Detection System): detección en el host. Monitorea integridad de archivos, logs locales, procesos, cambios en registro (Windows), privilegios, y configuraciones críticas.
Diferencias con HIPS: HIDS detecta; HIPS además previene/bloquea acciones maliciosas en el host.
Ejemplos de capacidades HIDS:
- Chequeo de integridad (hashes) en directorios sensibles.
- Alertas por creación de usuarios sospechosos o cambios de sudoers.
- Detección de persistencia (tareas programadas, servicios nuevos).
- Monitoreo de logs de autenticación (ssh, RDP) y de kernel.
Beneficios: visibilidad profunda en endpoints sin EDR completo, cumplimiento (baselines CIS), bajo costo.
Limitaciones: menos telemetría que EDR, posible ruido si no se afinan reglas, requiere actualización de políticas.
Buenas prácticas HIDS:
- Listas de control por rol del servidor.
- Whitelisting de cambios esperados (deploys).
- Integración con SIEM y playbooks de respuesta.

4) Datos y telemetría que debes dominar

Logs: Syslog, Windows Event Logs, Apache/Nginx, VPN, AD, DNS, proxy, correo, SaaS (M365/Google), cloud (CloudTrail/Activity Logs).
Campos clave: timestamp, user, src_ip, dst_ip, action, status, hostname, process_name, hash, url, user_agent.
Tipologías:
- Alertas: señales ya priorizadas por herramientas.
- Eventos: sucesos crudos (alto volumen).
- NetFlow/PCAP: contexto de red.
- IOCs/IOAs: indicadores de compromiso/ataque (hashes, dominios, comportamientos).

5) Detección: de firmas a analítica

Firmas/Reglas: Snort/Suricata (red), Sigma (estándar SIEM), YARA (archivos/memoria).
Analítica: modelos de comportamiento (UEBA), correlaciones (multi-fuente), umbrales adaptativos.
Mapeo MITRE ATT&CK: tácticas (TA), técnicas (T####) y sub-técnicas para explicar el “cómo”.

Ejemplo – Regla Sigma (acceso RDP fuera de horario):

title: RDP fuera de horario
id: 6ba1f1a8-2b6e-4cf2-9f0c-rdp-after-hours
status: experimental
logsource:
  product: windows
  service: security
detection:
  selection:
    EventID: 4624
    LogonType: 10
  timeframe: 5m
  condition: selection
fields:
  - TargetUserName
  - IpAddress
level: medium
tags:
  - attack.t1078
  - attack.t1021.001

Ejemplo – Consulta KQL (Microsoft Sentinel) – Múltiples fallos seguidos de éxito:

SigninLogs
| where ResultType != 0
| summarize fails=count() by UserPrincipalName, bin(TimeGenerated, 30m)
| join kind=inner (
    SigninLogs
    | where ResultType == 0
    | project UserPrincipalName, SuccessTime=TimeGenerated
) on UserPrincipalName
| where SuccessTime between (TimeGenerated .. TimeGenerated + 30m)
| where fails >= 5

Ejemplo – SPL (Splunk) – Descargas masivas por usuario:

index=proxy sourcetype=bluecoat
| stats count by user, url, category
| eventstats sum(count) as total by user
| where total > 500 AND like(category, «%file%»)
| sort – total

6) Respuesta a incidentes (ciclo práctico)

Preparación → Identificación → Contención → Erradicación → Recuperación → Lecciones aprendidas.
Playbook: secuencia estandarizada (ej.: phishing → aislar endpoint, invalidar token, bloquear dominio, reset MFA).
Runbook: guía técnica detallada (comandos, queries, contactos).
Cadena de custodia: preservar evidencia para auditoría/legal.

7) MITRE ATT&CK y TTPs

Tácticas: metas del atacante (Persistencia, Movimiento lateral, Exfiltración…).
Técnicas: métodos concretos (p.ej., T1059 – Command and Scripting Interpreter).
Uso en SOC: enriquecer alertas, crear casos de uso, cubrir brechas de detección.

8) Vulnerabilidades y exposición

CVE: identificador público de vulnerabilidad.
CVSS: puntaje de severidad (Base/Temporal/Contextual).
CWE: debilidades de software (categorías de fallos).
Priorizar: severidad + explotabilidad activa + exposición en tu entorno.

9) Seguridad en la nube (Cloud SOC)

Fuentes clave: AWS CloudTrail/GuardDuty, Azure Sign-In/AzureAD Audit/Microsoft Defender, GCP Audit Logs.
Controles: CSPM (postura), CWPP (workloads), CASB (SaaS), ZTNA (acceso).
Patrones comunes: keys expuestas, privilegios excesivos, actividad desde países atípicos, buckets públicos.

10) Métricas que mueven la aguja

MTTD (Mean Time To Detect): tiempo medio de detección.
MTTR (Mean Time To Respond/Recover): respuesta/recuperación.
FPR/FNR: falsos positivos/negativos.
Coverage: % de tácticas/controles cubiertos.
Backlog: alertas/colas pendientes por analista.

11) Ingeniería de detección

Normalización y enriquecimiento: unificar campos, añadir contexto (GeoIP, HR, CMDB).
Afinado (tuning): reducir ruido sin perder cobertura.
Versionado y pruebas: Git para reglas/playbooks, ambientes de prueba, DRY.
Observabilidad de detecciones: medir firing rate, drift y precisión.

12) Forense y triage rápido

Triage en endpoint: procesos anómalos, conexiones activas, usuarios recientes, tareas persistentes.
Volcado de memoria/artefactos: si es grave, preservar; usar herramientas forenses según política.
Registros críticos: autenticación, AD, DNS, proxy, EDR/HIDS, firewall, correo.

13) Inteligencia de amenazas (TI)

Feeds e intercambio: STIX/TAXII, MISP, listas de reputación.
Contexto: campañas, herramientas (C2), infraestructura, TTPs por actor.
Validación: comparar con telemetría interna antes de bloquear.

14) Compliance y marcos

ISO/IEC 27001, NIST CSF/800-53, PCI DSS, CIS Controls.
Retención de logs: definir por requerimiento regulatorio y uso (detección/forense).

15) Buenas prácticas del día a día

Afinar alertas por riesgo, no solo por volumen.
Etiquetar y documentar cada investigación (reutilizar conocimiento).
Revisar “cambios” antes de declarar incidente (deploys, mantenimiento).
Usar HIDS con listas de integridad en servidores críticos.
Mantenersiempre MFA, segmentación y principio de privilegio mínimo.
Simular incidentes (tabletop/rojos-azules) para entrenar.

16) Errores comunes que frenan a un SOC

Depender solo del SIEM sin contexto.
Ignorar DNS/Proxy (clave para exfiltración/comando-control).
No mapear casos de uso a MITRE ATT&CK.
Playbooks sin mantenimiento o sin responsables claros.
Falta de telemetría de endpoints en servidores legacy.

17) Mini glosario A–Z (definiciones rápidas)

ACL: lista de control de acceso.
Alert fatigue: fatiga por exceso de alertas.
Beaconing: comunicaciones periódicas a C2.
Baseline: línea base de comportamiento/configuración.
C2: servidor de comando y control.
Correlation rule: lógica que une eventos para detectar patrones.
DLP: prevención de fuga de datos.
EPP: protección tradicional de endpoint (antivirus/antimalware).
False positive/negative: alerta incorrecta/ausencia de alerta ante ataque real.
Hash: identificador criptográfico de archivo.
HIDS/HIPS: detección/preventivo en host.
IOC/IOA: indicador de compromiso/ataque.
Parsing: extracción de campos de un log.
Pivoting: movimiento lateral usando sistemas comprometidos.
Playbook/Runbook: procedimientos de respuesta.
Sandbox: ejecución aislada para análisis de malware.
Sigma/YARA/Snort: formatos/reglas de detección.
SOAR/SIEM/UEBA/TIP: orquestación, correlación, comportamiento, inteligencia.
TTPs: tácticas, técnicas y procedimientos de adversarios.
UEBA: analítica de comportamiento de usuarios/entidades.
Zero Trust: nunca confiar, verificar siempre.

18) Cheatsheet: consultas y reglas útiles

Sigma – Búsqueda de net.exe user (creación/edición de usuarios):

title: Uso sospechoso de net.exe user
logsource:
  product: windows
  category: process_creation
detection:
  sel:
    Image|endswith: '\net.exe'
    CommandLine|contains: ' user '
  condition: sel
level: high
tags: [attack.t1136]

SPL – Picos de autenticación fallida por IP:

index=auth (sourcetype=winsec OR sourcetype=linuxauth)
| stats count by src_ip, user, action
| where action="fail"
| timechart span=5m sum(count) by src_ip

KQL – Rare processes por equipo:

DeviceProcessEvents
| summarize cnt=count() by DeviceId, FileName
| summarize pct = percentile(cnt, 95) by DeviceId
| join kind=inner (DeviceProcessEvents) on DeviceId
| where cnt > pct

Conclusión

Un glosario SOC ciberseguridad bien interiorizado reduce tiempos, mejora la calidad de las investigaciones y eleva la madurez del equipo. Estudia, practica con datos reales, mapea a MITRE y automatiza donde aporte valor. ¡Éxitos en tu camino de analista SOC!