Operaciones del SOC, Monitoreo de Seguridad y Respuesta a Incidentes

Son las 2 a.m. y la cola tiene cuarenta alertas sin leer. Una de ellas es una intrusión real. Las otras treinta y nueve son ruido. ¿Cuál abres primero y cómo lo sabes? Esa pregunta — no una lista memorizada de ataques — es lo que este curso te entrena para responder. Aprendes un bucle repetible y lo ejecutas en todo lo que se presenta ante ti: lee la alerta y decide si es un verdadero positivo, un falso positivo o un verdadero positivo benigno; enriquécelo hasta que el panorama esté claro; investiga a través de la telemetría que realmente contiene la respuesta — endpoint y EDR, registros de Windows y Sysmon, red y DNS, identidad y nube; construye una línea de tiempo, delimita el radio de explosión y luego responde en el orden correcto, porque contener el host equivocado primero puede destruir tu evidencia y alertar al atacante. Trabajamos las alertas que realmente verás: un correo de phishing que se convierte en una toma de control de cuenta, PowerShell codificado que se genera desde Word en una laptop de finanzas, movimiento lateral hacia un servidor de archivos, beaconing oculto en tráfico DNS. Para cada una practicas los pivotes, el veredicto y el primer movimiento de respuesta — luego cómo redactarlo para que cualquiera pueda seguirlo y cómo escalar con suficiente contexto para que el siguiente nivel no comience de nuevo. Los marcos que los analistas en activo realmente usan también están aquí — Cyber Kill Chain, MITRE ATT&CK, el Modelo Diamante, la Pirámide del Dolor y el ciclo de vida de respuesta a incidentes de SANS — enseñados como lentes, no como trivialidades. Y el curso es honesto sobre lo que la mayoría de la formación omite: la fatiga de alertas es real, la revisión sin culpa es como los equipos mejoran, y una alerta perdida es una brecha que cerrar, no una persona a quien culpar. Si aspiras a un puesto de SOC de Nivel 1, o vienes de un puesto de help-desk o TI, este es el turno, ensayado antes de entrar.