Lo que conseguirás
Aprende a pensar como un analista SOC y a convertir alertas dispersas en decisiones defendibles.
Analistas junior, administradores de sistemas y profesionales que quieren orientarse hacia Blue Team y operaciones de seguridad.
Analista SOC y Blue Team: detección, triage y respuesta
Aprende a trabajar como analista SOC desde el criterio: telemetría, SIEM, detecciones, MITRE ATT&CK, priorización de alertas, investigación, escalado, respuesta a incidentes y mejora continua. Un curso completamente teórico, basado en escenarios realistas y decisiones defensivas, sin máquinas virtuales ni laboratorios técnicos.
Este curso está incluido en Cyber2Camp+
Crear cuenta y ver opciones
Crear tu cuenta es gratis. Para acceder a este curso necesitas Cyber2Camp+, por 9,99 € al mes, o un código promocional válido. La suscripción se renueva cada mes hasta que la canceles.
Al terminar podrás
- Interpretar telemetría, alertas y contexto con criterio.
- Realizar triage, formular hipótesis y delimitar el alcance.
- Escalar y responder a incidentes con decisiones trazables.
Modalidad100 % online y teórica
EvaluaciónTest final con un 80 %
ReconocimientoCertificado verificable
AccesoCyber2Camp+ · 9,99 €/mes
Historial del cursoVersión 1
Versión 1. Contenido, fuentes y evaluación revisados como un conjunto antes de su publicación.
Una decisión explicada
Ejemplo de triage SOC: una alerta en un equipo de oficina
Escenario ficticio original creado para esta ficha. Muestra cómo razonar sobre una alerta; no es un laboratorio ni un incidente real.
Separa los hechos de la conclusión
A las 10:04, el EDR registra que Word inicia un intérprete de scripts. A las 10:05, ese proceso conecta con un destino externo. Todas las horas del ejemplo están en UTC. No hay un cambio autorizado registrado para ese equipo.
Estos hechos justifican investigar, pero no confirman por sí solos malware ni extracción de datos. Que no conste un cambio tampoco demuestra que la actividad sea ilegítima.
Contrasta dos hipótesis
Podría ser un documento malicioso o una automatización legítima. Revisaría el árbol de procesos, los argumentos registrados, el origen del documento y el destino de red; contrastaría con el responsable del equipo si esperaba esa actividad.
Conservaría los registros y buscaría la misma secuencia en otros equipos. La firma de un archivo o la reputación de un destino ayudan a contrastar, pero no bastan para cerrar el caso.
Decide y deja un traspaso claro
Mantendría la alerta abierta y priorizaría la investigación por la secuencia de ejecución y la conexión externa sin explicación. Escalaría con la línea temporal, las evidencias y lo que falta por comprobar.
Si las comprobaciones respaldan actividad maliciosa, valoraría el aislamiento según el procedimiento autorizado y el impacto sobre el servicio. Documentaría el motivo de cada acción y el alcance confirmado; no daría el incidente por resuelto solo porque cesen las alertas.
Para profundizar: NIST: recomendaciones de respuesta a incidentes y Microsoft: investigar alertas y su línea temporal. Son referencias del método de análisis; los datos del caso son ficticios.
Programa del curso
Temario publicado
Consulta los módulos y las lecciones que incluye este curso teórico. El contenido de las lecciones y la evaluación requieren acceso a Cyber2Camp+ e inscripción en el curso.
La misión del SOC
- El SOC como sistema de decisión
Telemetría y registros
- Del evento aislado al contexto útil
SIEM y detecciones
- De la regla a la alerta accionable
MITRE ATT&CK e inteligencia
- Mapear el comportamiento adversario
Triage de alertas
- Los primeros quince minutos
Investigación defensiva
- Hipótesis, evidencia y alcance
Respuesta a incidentes
- De la detección a la recuperación
Escenarios y playbooks
- Decisiones en incidentes frecuentes
Operación y mejora del SOC
- Calidad operativa y métricas
Caso integrador y evaluación
- Del primer indicio al cierre