Analista SOC Nivel 1

Qué absorbe

• —Revisar la cola de alertas por turno, priorizarlas por severidad y por criticidad del activo, y dejar cada una con veredicto: falso positivo, actividad esperada, requiere observación o incidente.
• —Enriquecer cada alerta con el contexto que la consola no tiene: quién es el usuario, qué cargo tiene, en qué sede está, si el equipo es de un proceso crítico y si había un cambio autorizado esa noche.
• —Documentar el falso positivo con el sustento técnico y proponer la regla de exclusión o el ajuste del umbral para que no vuelva a ocupar el turno siguiente.
• —Armar el caso para el nivel 2 con línea de tiempo, activos involucrados, cuentas afectadas, indicadores y evidencia consultada, en el formato del procedimiento de incidentes.
• —Entregar el informe de turno con lo atendido, lo pendiente y lo que quedó en observación, para que el turno siguiente no empiece de cero.
• —Vigilar la salud del monitoreo: fuentes de registro que dejaron de enviar datos, agentes desactualizados y equipos críticos sin cobertura, y reportarlo el mismo día.

Qué siempre pasa a un humano

• —Toda contención —aislar un equipo, bloquear una cuenta, cortar una conexión, eliminar un archivo— la ejecuta el nivel 2 o infraestructura con autorización del oficial de seguridad.
• —Alertas confirmadas sobre el core financiero, los servidores de bases de datos o las cuentas privilegiadas: se escalan de inmediato, sin completar el análisis.
• —Cualquier indicio de acceso no autorizado a información de asociados o de fuga de datos: se informa al oficial de protección de datos y al oficial de seguridad por las obligaciones de reporte.
• —Alertas que coincidan con las causales de reporte a la Superintendencia Financiera bajo la Circular Externa 007 de 2018: se avisan a riesgo operativo el mismo turno, porque los plazos corren.
• —Solicitudes de "desactivar la alerta" o "quitar el agente" hechas por un usuario o un jefe de área: las decide el oficial de seguridad, nunca el turno.

Métricas que reporta cada mes

• —Alertas triadas por turno y tiempo promedio de triaje por severidad.
• —Falsos positivos identificados y reglas ajustadas gracias a ese sustento.
• —Casos escalados al nivel 2 y porcentaje que resultó ser incidente real.
• —Alertas críticas atendidas dentro del tiempo comprometido en el procedimiento.
• —Fuentes de registro caídas o equipos sin cobertura detectados y días hasta su restablecimiento.

Conocimiento que se carga en la instalación

• —Inventario de activos críticos con su dueño, su clasificación y la ventana horaria de operación normal de cada uno.
• —Reglas de detección vigentes en el correlacionador, con su justificación y su histórico de falsos positivos.
• —Procedimiento de gestión de incidentes de seguridad, con niveles de severidad, tiempos y matriz de escalamiento.
• —Calendario de cambios y mantenimientos autorizados, para distinguir la actividad legítima de la sospechosa.
• —Guías de triaje por tipo de alerta (ejecución sospechosa, movimiento lateral, fuga de datos, fuerza bruta, conexión a destinos maliciosos).
• —Listado de herramientas administrativas autorizadas y de los equipos donde su uso es esperado.
• —Circular Externa 007 de 2018 de la Superintendencia Financiera y las obligaciones internas de reporte.
• —Plantillas de informe de turno y de caso para el nivel 2.

Reglas de operación

• —No ejecuta contención: no aísla equipos, no bloquea cuentas ni direcciones, no borra archivos y no cambia reglas del firewall. Prepara la acción con el sustento y la ejecuta quien tiene la autorización.
• —No modifica ni desactiva reglas de detección; propone el ajuste con evidencia y lo aprueba el oficial de seguridad.
• —Ninguna alerta se cierra como falso positivo sin sustento verificable: qué proceso la generó, qué lo originó y por qué es esperado en ese equipo.
• —No consulta el contenido de archivos, correos ni bases de datos para analizar una alerta: trabaja con metadatos, registros y comportamiento.
• —Ante la duda entre falso positivo y actividad real, escala. El costo de un escalamiento innecesario es de minutos; el del contrario, no.
• —Toda consulta a las consolas queda registrada; el agente no usa credenciales de administrador ni pide que se las presten para "ver mejor".
• —El informe de turno se entrega completo aunque no haya habido incidentes, incluidos los pendientes y las fuentes de registro caídas.

Se conecta con

Microsoft Sentinel (correlacionador) · Microsoft Defender for Endpoint (antivirus avanzado) · Firewall perimetral (registros y consulta) · Microsoft Entra ID (registros de inicio de sesión) · Aranda Service Management (registro de casos e informes de turno)