Qué hace un analista SOC: un día de trabajo real y cómo empezar

Un analista SOC (Security Operations Center) vigila los sistemas de una organización para detectar, investigar y contener incidentes de seguridad. En la práctica, su día consiste en revisar alertas, decidir cuáles son reales, investigar las que lo son y escalar o contener lo que haga falta. No es un puesto de "hackear": es un puesto de analizar, comparar y decidir con rapidez y con poca información.

Cómo es un día normal

1. Traspaso. Se empieza leyendo qué dejó abierto el turno anterior: incidentes en curso, alertas pendientes de respuesta, cambios en la infraestructura.
2. Cola de alertas. Se abre la consola (en mi caso Trend Micro Vision One) y se ordena lo que ha saltado. El orden importa más que la velocidad: lo explico en triaje de alertas en un SOC.
3. Investigación. Para cada alerta real: qué activo y qué usuario, qué pasó antes y después, si el indicador aparece en fuentes de inteligencia, si esto ya se vio antes.
4. Contención y escalado. Aislar un equipo, deshabilitar una cuenta, bloquear un dominio, o pasar el caso al nivel siguiente con todo el contexto ya reunido.
5. Documentación. Cada decisión queda escrita en el ticket. Es la parte menos vistosa y la que más ahorra al día siguiente.
6. Mejora. Afinar reglas que generan ruido, revisar falsos positivos recurrentes y automatizar informes que se repiten.

Los niveles de un SOC

Nivel	Qué hace
N1	Triaje: revisa alertas, descarta falsos positivos, escala lo relevante.
N2	Investigación y respuesta: analiza incidentes, contiene, coordina con otros equipos.
N3	Caza de amenazas, análisis forense y de malware, ingeniería de detección.

Los nombres y los límites cambian de una empresa a otra, y en un SOC pequeño una misma persona hace de las tres cosas.

Con qué herramientas se trabaja

• EDR / XDR para ver el endpoint, el correo y la identidad. Qué aporta cada uno está en XDR, SIEM y EDR.
• SIEM para centralizar logs y buscar en ellos.
• Gestor de tickets para registrar cada caso.
• Fuentes de inteligencia (VirusTotal, AbuseIPDB, el catálogo KEV de CISA) para saber si un indicador es conocido.
• Consola de correo y de identidad (Microsoft 365, Entra ID) para investigar fraudes de correo y cuentas comprometidas.

Qué hay que saber para empezar

• Redes básicas: TCP/IP, DNS, HTTP, qué es normal en un tráfico.
• Windows y Active Directory: cómo se autentica un usuario y qué rastro deja.
• Leer logs sin asustarse, y saber qué preguntar a una línea rara.
• Algo de scripting (Python o PowerShell) para no repetir a mano lo que se puede automatizar.
• Escribir claro: un buen resumen de incidente vale tanto como una buena detección.

Mucha gente llega desde soporte técnico o administración de sistemas, y es una buena ruta: entender la infraestructura real pesa más que cualquier curso. Lo cuento en de soporte técnico a SOC, y qué certificaciones ayudan en certificaciones para empezar como analista SOC.

Preguntas frecuentes

¿Qué hace un analista SOC?

Monitoriza alertas de seguridad, decide cuáles son incidentes reales, los investiga y los contiene o escala. Además documenta cada caso y ayuda a afinar las reglas de detección para reducir el ruido.

¿Cuál es la diferencia entre un analista SOC y un pentester?

El analista SOC defiende: detecta y responde a ataques reales sobre los sistemas de la organización. El pentester ataca de forma autorizada para encontrar debilidades antes que los atacantes. Son perfiles complementarios.

¿Se puede entrar en un SOC sin experiencia previa?

Sí, en puestos de nivel 1, sobre todo con base en sistemas o redes, alguna certificación y práctica en laboratorios. Los SOC suelen valorar más la curiosidad y la capacidad de explicar un razonamiento que el título.

¿Hay que trabajar de noche?

Depende del SOC. Los que dan servicio 24x7 trabajan por turnos; otros cubren solo horario de oficina y dejan la noche a un servicio externo (MDR).