SOC como servicio
SOC como servicio
Un centro de operaciones de seguridad plenamente dotado que vigila su entorno las veinticuatro horas, sin el coste ni la carga de contratación que supone construir uno propio.
Visión general
Un centro de operaciones de seguridad (SOC) es el equipo y el conjunto de herramientas que supervisan de forma continua su entorno en busca de ataques, interpretan lo que las alertas significan realmente e impulsan una respuesta antes de que una intrusión se convierta en una brecha. El SOC como servicio le ofrece esa capacidad en modalidad de suscripción: nuestros analistas, nuestra ingeniería de detección y nuestra plataforma vigilando sus endpoints, su nube, su identidad y su red 24/7. Montar un SOC interno implica contratar al menos a seis analistas para cubrir un turno permanente, licenciar un SIEM y, después, mantener las detecciones al día a medida que evolucionan las técnicas de los atacantes. La mayoría de las organizaciones obtienen una mejor cobertura, y antes, externalizando el turno y conservando la propiedad de las decisiones.
Metodología y estándares
Las detecciones se mapean a MITRE ATT&CK para que la cobertura sea medible y no una suposición, y el triaje sigue el ciclo de vida de gestión de incidentes del NIST SP 800-61. Las fuentes de registro, la retención y las severidades de las alertas se acuerdan de antemano en función de su perfil de riesgo, e informamos sobre el tiempo medio de detección (MTTD) y el tiempo medio de respuesta (MTTR) en lugar de sobre recuentos brutos de alertas.
Qué incluye
Qué recibe
Preguntas frecuentes
Se solapan considerablemente y a menudo se venden de forma intercambiable. Un SOC es la función más amplia: supervisión, triaje, caza de amenazas, elaboración de informes y cobertura de todo su entorno. El MDR suele ser más acotado y más orientado al producto, centrado en detectar y responder a amenazas sobre telemetría concreta, como los endpoints. Si necesita que alguien asuma toda la función de operaciones de seguridad, eso es SOC como servicio; si necesita detección y respuesta rápidas acopladas a un equipo ya existente, el MDR suele bastar.
Para la mayoría de las organizaciones sí, y con un margen amplio. Un turno 24/7 requiere unos seis analistas antes siquiera de contar con un responsable del SOC, un ingeniero de detección, las licencias del SIEM y el coste continuo de mantener las detecciones al día. La suscripción reparte ese coste entre varios clientes. Construirlo internamente empieza a tener sentido a gran escala o cuando la regulación exige que la función resida dentro de su propia organización.
No, lo ampliamos. Asumimos la carga de la supervisión y el triaje 24/7, que es la parte más difícil de dotar de personal y la que más rápido quema a los equipos. Su equipo conserva la propiedad de las decisiones de riesgo, la remediación y el contexto de negocio, que es donde el conocimiento interno resulta insustituible.
Una incorporación típica dura de dos a cuatro semanas: descubrimiento y conexión de las fuentes de registro, ajuste de referencia a su entorno, acuerdo sobre las rutas de escalado y los runbooks, y después una ejecución en paralelo supervisada antes de entrar en producción. Es posible una incorporación de emergencia si ya se encuentra en medio de un incidente.
Primero hacemos el triaje, para que no le despierten por un falso positivo. Los incidentes confirmados siguen la ruta de escalado acordada durante la incorporación, lo que normalmente supone un contacto inmediato para la severidad crítica, las acciones de contención que estamos preautorizados a ejecutar y un resumen de triaje por escrito para que su equipo pueda retomarlo con todo el contexto.
Como mínimo endpoint (EDR), identidad (Entra ID / Okta / Active Directory) y plano de control de la nube (AWS CloudTrail, Azure Activity, GCP Audit). Los registros de red, de seguridad del correo y de auditoría de SaaS mejoran sustancialmente la cobertura. Durante la incorporación mapeamos lo que tiene frente a MITRE ATT&CK y le decimos con honestidad dónde están los puntos ciegos.