[et_pb_section fb_built=\u00bb1″ admin_label=\u00bbSection\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb0px||0px||false|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_row column_structure=\u00bb1_4,3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb50px||||false|false\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_column type=\u00bb1_4″ disabled_on=\u00bbon|on|off\u00bb _builder_version=\u00bb4.22.0″ _module_preset=\u00bbdefault\u00bb custom_padding=\u00bb||||false|false\u00bb sticky_position=\u00bbtop\u00bb sticky_offset_top=\u00bb100px\u00bb sticky_limit_bottom=\u00bbsection\u00bb motion_trigger_start=\u00bbtop\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbindice\u00bb _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_margin=\u00bb||0px||false|false\u00bb custom_padding=\u00bb||14px||false|false\u00bb link_option_url=\u00bb#1″ global_colors_info=\u00bb{}\u00bb]<\/p>\n
Secciones<\/strong><\/p>\n [\/et_pb_text][\/et_pb_column][et_pb_column type=\u00bb3_4″ _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb custom_css_main_element=\u00bbz-index:0!important;\u00bb global_colors_info=\u00bb{}\u00bb][et_pb_text admin_label=\u00bbseccion\u00bb module_id=\u00bb1″ module_class=\u00bbittopicscontent\u00bb _builder_version=\u00bb4.27.0″ _module_preset=\u00bbdefault\u00bb z_index=\u00bb0″ custom_margin=\u00bb0px||0px||true|false\u00bb custom_padding=\u00bb0px||0px||false|false\u00bb custom_css_main_element=\u00bbfont-family:%22Pandora-Light%22;\u00bb locked=\u00bboff\u00bb global_colors_info=\u00bb{}\u00bb]600 millones y 292. Parecen cifras de una pelea injusta y en cierto modo lo son, al menos en la ciberseguridad, cada vez m\u00e1s complicada. En ese contexto, el Security Operations Center (SOC)<\/strong> debe ser el n\u00facleo de la defensa proactiva<\/strong> de cualquier organizaci\u00f3n. Por eso, esta gu\u00eda completa detalla qu\u00e9 es el SOC, qu\u00e9 hace, qu\u00e9 lo compone y c\u00f3mo herramientas como Pandora SIEM<\/strong> potencian su eficacia. Un equipo especializado que utiliza tecnolog\u00edas y procesos para monitorizar<\/a>, detectar y responder a incidentes de ciberseguridad<\/strong> en tiempo real. A diferencia del NOC (Network Operations Center)<\/A>, enfocado en disponibilidad y rendimiento de red, el SOC prioriza identificar brechas y neutralizar amenazas. Seg\u00fan su naturaleza, el SOC puede ser:<\/p>\n Sea del tipo que sea, un SOC efectivo debe realizar funciones clave que incluyen:<\/p>\n Cada organizaci\u00f3n es un mundo y su modelo concreto de amenazas, tambi\u00e9n.<\/Strong> Identificadas esas amenazas, el SOC no espera a que se produzcan<\/strong>, sino que monitoriza 24\/7 con an\u00e1lisis de logs, tr\u00e1fico de red o actividad en endpoints. Tarde o temprano ocurrir\u00e1n, por phishing<\/a>, ingenier\u00eda social u otras t\u00e9cnicas. Por eso, el SOC debe liderar la respuesta para contener, erradicar y recuperar<\/strong> la infraestructura afectada. Tapar la brecha y limpiar el destrozo no basta. Hay que realizar un an\u00e1lisis forense para investigar exactamente qu\u00e9 pas\u00f3 y poner medidas<\/strong> para que no se repita.<\/p>\n Supervisando, por ejemplo, el cumplimiento del RGPD de protecci\u00f3n de datos o la NIS2<\/A> de seguridad europea. Debido a la situaci\u00f3n legislativa cada vez m\u00e1s exigente, esta funci\u00f3n del SOC est\u00e1 adquiriendo mayor importancia<\/strong>para no incurrir en sanciones. El SOC est\u00e1 compuesto depersonas y herramientas<\/strong>. Estas \u00faltimas son mucho m\u00e1s sofisticadas que los tradicionales antivirus, mientras que los t\u00e9cnicos tambi\u00e9n est\u00e1n cada vez m\u00e1s especializados, porque la ciberseguridad es un campo que nunca se acaba.<\/p>\n El CISO (Chief Information Security Officer)<\/strong> es el gestor del d\u00eda a d\u00eda en el SOC y encargado de aplicar lo dispuesto por el CISO, a quien reporta. La organizaci\u00f3n concreta de estos elementos humanos depende de la metodolog\u00eda que se siga y, sobre todo, del presupuesto. Esta es una estructura ideal, pero en el SOC no es raro tener el t\u00edtulo oficial de CISO y el no oficial de hombre orquesta.<\/p>\n La labor del SOC es imposible sin herramientas especializadas y sus principales \u00abarmas\u00bb tecnol\u00f3gicas son:<\/p>\n En tecnolog\u00eda parece que la labor es m\u00e1s conocer a fondo una herramienta que conocer los procesos que hay detr\u00e1s. Y aunque no es exactamente as\u00ed, conviene comprender c\u00f3mo se integra la labor del SOC con estas aplicaciones que tienen la misi\u00f3n de facilitarla.<\/p>\n Las decisiones del SOC ser\u00e1n tan buenas como la informaci\u00f3n que posea. <\/strong>De eso se encarga el SIEM, que agrega y normaliza logs de diversas fuentes (firewalls, servidores, aplicaciones…) identificando patrones de ataque mediante reglas de correlaci\u00f3n. Se trata de una tecnolog\u00eda para manejar de manera m\u00e1s eficiente un gran volumen de alertas de seguridad<\/strong>. Esto mejora la velocidad y precisi\u00f3n de respuesta a incidentes, automatizando contramedidas y permitiendo a los equipos de seguridad concentrarse en tareas m\u00e1s estrat\u00e9gicas. Son los ojos y o\u00eddos del SOC instalados en los dispositivos de la organizaci\u00f3n<\/strong>. Registran actividades, conectan con el SIEM y pueden hacer que SOAR ejecute playbooks autom\u00e1ticos, mientras se avisa al SOC. El primer motivo es claro, supervivencia. El informe VikingCloud\u2019s 2025 SMB Threat Landscape<\/A> arroja que las p\u00e9rdidas de un incidente pueden cerrar a 1 de cada 5 pymes<\/strong> si alcanzan los 10.000 d\u00f3lares, algo sencillo entre costes directos y posibles sanciones adicionales por incumplimiento de legislaci\u00f3n. Pero claro, todo esto es ideal y parece solamente al alcance de bolsillos llenos. Sin embargo, no es as\u00ed, ya que, como casi todo hoy d\u00eda, el SOC tambi\u00e9n puede ser contratado como servicio.<\/p>\n La seguridad parece una nota a pie de p\u00e1gina para demasiadas organizaciones, encarg\u00e1ndola al cu\u00f1ado del gerente o al becario que \u00absabe de ordenadores\u00bb. El informe de Vikingcloud ya citado confirma esa sospecha revelando que el 74% de peque\u00f1os y medianos negocios gestionan la seguridad sin conocimientos suficientes.<\/strong> Algunos escenarios en los que el SOCaaS resulta conveniente son:<\/p>\n El SOCaaS puede tener as\u00ed una integraci\u00f3n h\u00edbrida con nuestra estructura de seguridad. Por ejemplo, \u00e9l monitoriza la nube AWS, mientras un SIEM interno como Pandora gestiona redes locales. La integraci\u00f3n permitir\u00eda que las alertas se correlacionen en un \u00fanico dashboard, aprovechando la telemetr\u00eda para una gesti\u00f3n integral<\/A>.<\/p>\n Aunque cada SOC manejar\u00e1 un modelo de amenazas diferente, los retos que suelen enfrentar son parecidos:<\/p>\n Entre un SOC y un SOC efectivo hay un mar de distancia compuesto de la aplicaci\u00f3n de las mejores pr\u00e1cticas. El equipo humano y las licencias de software ser\u00e1n in\u00fatiles sin estrategias adecuadas<\/a> y principios claros<\/A>, tales como:<\/p>\n La tecnolog\u00eda debe hacernos la vida m\u00e1s f\u00e1cil y la buena tecnolog\u00eda es reflejo de las mejores pr\u00e1cticas. Esas dos son las gu\u00edas maestras de Pandora SIEM, que levanta el peso m\u00e1s pesado de la extensa labor del SOC<\/Strong> con:<\/p>\n Agregando logs de firewalls, endpoints, aplicaciones… A los que aplica reglas basadas en MITRE ATT&CK, para detectar y alertar al instante sobre incidentes. Pandora SIEM permite crear un plan integral de respuesta a incidentes, definiendo cu\u00e1les requieren atenci\u00f3n humana y cu\u00e1les pueden ser gestionados de manera autom\u00e1tica, otorgando tiempo y tranquilidad al SOC.<\/p>\n Ya sea de reglas, correlaciones avanzadas o dashboards, para que el SIEM sea un reflejo de las necesidades espec\u00edficas del SOC. Desde la alerta temprana hasta los informes finales, Pandora SIEM proporciona toda la informaci\u00f3n necesaria, ya sea para el funcionamiento \u00f3ptimo del SOC o cumplimiento de normativas, como las auditor\u00edas exigidas por la NIS2 europea, por ejemplo.<\/p>\n Si ya tienes Pandora FMS, basta \u00abun clic\u00bb para activar el servidor SIEM y asegurarnos de que las t\u00e9cnicas y tecnolog\u00edas m\u00e1s innovadoras llegan a la batalla de nuestro lado.<\/p>\n\n
\nPorque esos 600 millones no son p\u00e9rdidas, sino los ataques diarios que reciben solamente usuarios de Microsoft seg\u00fan sus propios datos<\/A>. Sumemos que Internet corre pr\u00e1cticamente sobre Linux (m\u00e1s las cuatro personas y media que lo usamos en desktop), que tambi\u00e9n est\u00e1 Android y existen macOS e iOS (y no, no se libran).
\nPero los n\u00fameros no muestran la importancia de un SOC tanto como sentir el est\u00f3mago deshecho ante la pantalla del ransomware o las transferencias fraudulentas que te arruinaron.
\nPara que eso no ocurra, esto es lo que debemos saber.<\/p>\n\u00bfQu\u00e9 es un Security Operations Center (SOC)?<\/h2>\n
\nPodr\u00edamos ver al SOC como el \u00absistema inmunitario\u00bb de nuestra organizaci\u00f3n<\/strong> que, con t\u00e9cnicas y soluciones variadas, vigila de manera activa nuestra superficie de ataque, mitigando brechas. No se nos ocurrir\u00eda subir a un metro abarrotado sin ese sistema inmunitario, pero muchas organizaciones operan sin SOC en su d\u00eda a d\u00eda.
\nLa clave es esa \u00abproactividad\u00bb, pues el enfoque reactivo es insuficiente, porque ese 292 del principio son, seg\u00fan IBM<\/a>, los d\u00edas de media que se tardan en contener brechas<\/strong> de, por ejemplo, credenciales robadas.<\/p>\nQu\u00e9 tipos de SOC existen<\/h2>\n
\n
Funciones clave de un SOC<\/h2>\n
Planificaci\u00f3n de la seguridad<\/h3>\n
\nPor eso, la primera funci\u00f3n del SOC es planear y optimizar la seguridad. Eso implica elaborar dicho modelo de amenazas propio, priorizarlas y comprender las mejores pr\u00e1cticas para mitigarlas.<\/p>\nMonitorizaci\u00f3n y detecci\u00f3n continua<\/h3>\n
\nLa capacidad de hacerlo \u00f3ptimamente depender\u00e1 de las herramientas adecuadas, como EDRs (Endpoint Detection and Response) en dispositivos y SIEMs (Security Information and Event Management) como Pandora SIEM<\/a>, que centralizan la informaci\u00f3n, separando la se\u00f1al del ruido.
\nCon la tormenta actual de millones de amenazas que crecen cada d\u00eda, el uso de IA y reglas de correlaci\u00f3n resulta imprescindible para no terminar desbordados.<\/p>\nRespuesta a incidentes<\/h3>\n
\nEl objetivo es mitigar p\u00e9rdidas y garantizar la continuidad de servicio, tanto dentro de la organizaci\u00f3n, como a clientes, a fin de no poner en peligro los SLAs (Service Level Agreements).
\nDel mismo modo, notifica la incidencia a los organismos correspondientes (como una brecha de informaci\u00f3n a la Agencia de Protecci\u00f3n de Datos) a fin de cumplir la ley y no sumar multas a las p\u00e9rdidas.<\/p>\nAn\u00e1lisis forense<\/h3>\n
Cumplimiento de normativas de seguridad<\/h3>\n
\nDel mismo modo, lidera la implantaci\u00f3n de cualquier otra norma, como la ISO 27001<\/A>.<\/p>\nComponentes humanos del SOC<\/h2>\n
Human Components of the SOC<\/h3>\n
\nSi est\u00e1s leyendo esto, probablemente has visto Star Trek: TNG. El capit\u00e1n Picard ser\u00eda el CISO que ordena y planea, mientras que el comandante Riker ser\u00eda el SOC Manager, el primer oficial que ejecuta y act\u00faa.
\nLuego estar\u00edan los t\u00e9cnicos que pelean en la trinchera bati\u00e9ndose el cobre con herramientas y actores maliciosos. Un SOC ideal tendr\u00eda:<\/p>\n\n
Componentes tecnol\u00f3gicos del SOC<\/h3>\n
\n
La integraci\u00f3n del SOC con tecnolog\u00edas de seguridad<\/h2>\n
El SIEM y el SOC<\/h3>\n
\nPor ejemplo, el log del firewall registra m\u00faltiples conexiones desde una misma IP en poco tiempo. Por otro lado, el log del servidor muestra numerosos intentos de autenticaci\u00f3n fallidos para una cuenta de administraci\u00f3n.
\nEl SIEM correlaciona esos eventos y concluye que es un ataque de fuerza bruta<\/strong>, emitiendo una alerta al SOC en tiempo real.<\/p>\nSOAR<\/h3>\n
\nPor ejemplo, el SIEM identifica un flujo repentino y masivo de paquetes SYN proveniente de IPs de muy diferentes pa\u00edses. El SOAR comienza la respuesta automatizada del playbook \u00abMitigaci\u00f3n de DDoS\u00bb bajo supervisi\u00f3n del SOC. As\u00ed, redirige el tr\u00e1fico a Cloudflare, por ejemplo, bloquea las IPs y genera el ticket en Jira sin intervenci\u00f3n humana.
\nEl ataque es mitigado instant\u00e1neamente, mientras que manualmente podr\u00eda llevar 45 minutos a un ingeniero que tiene mejores cosas que hacer que picar esas piedras todo el rato.<\/p>\nEDRs<\/h3>\n
\nPor ejemplo, un port\u00e1til conecta con un servidor desconocido enviando gran cantidad de datos a una IP extra\u00f1a. El EDR lo detecta y alerta para que el sistema integrado de seguridad responda, por ejemplo, con un proceso autom\u00e1tico contra exfiltraci\u00f3n.<\/p>\nPor qu\u00e9 implementar un SOC<\/h2>\n
\nHay una estad\u00edstica famosa atribuida a la National Cybersecurity Alliance que sube ese cierre al 60% y la citan incluso grandes medios, pero es falsa<\/a><\/strong>.
\nSin embargo, este no es el \u00fanico motivo, porque un SOC proporciona:<\/p>\n\n
SOC como servicio (SOCaaS): ventajas y escenarios de uso<\/h2>\n
\nAh\u00ed entra el SOCaaS, un modelo donde un proveedor externo gestiona las operaciones de seguridad con sus herramientas y expertos, a cambio de una suscripci\u00f3n.
\nEsto ofrece varias ventajas:<\/p>\n\n
\n
Desaf\u00edos comunes en la gesti\u00f3n de un SOC<\/h2>\n
\n
Buenas pr\u00e1cticas para un SOC efectivo<\/h2>\n
\n
\u00bfC\u00f3mo optimiza Pandora SIEM la gesti\u00f3n en un SOC?<\/h2>\n
Correlaci\u00f3n avanzada de eventos<\/h3>\n
\nPor ejemplo, un intento de acceso fallido m\u00e1s una ejecuci\u00f3n de PowerShell ofuscado generar\u00eda una alerta de malware.<\/p>\nRespuesta automatizada<\/h3>\n
Personalizaci\u00f3n y adaptaci\u00f3n<\/h3>\n
\nDel mismo modo, no importa si todo es on-premise o hay que controlar tambi\u00e9n la nube de Azure, por ejemplo, Pandora SIEM se adapta a ambos y unifica.<\/p>\nSeguimiento del ciclo de vida del incidente<\/h3>\n
Funcionamiento sencillo y tecnolog\u00eda de vanguardia<\/h3>\n
Tendencias emergentes en SOC<\/h2>\n