Què fa un analista SOC: un dia de feina real i com començar

Un analista SOC (Security Operations Center) vigila els sistemes d'una organització per detectar, investigar i contenir incidents de seguretat. A la pràctica, el seu dia consisteix a revisar alertes, decidir quines són reals, investigar les que ho són i escalar o contenir el que calgui. No és un lloc de «hackejar»: és un lloc d'analitzar, comparar i decidir amb rapidesa i amb poca informació.

Com és un dia normal

1. Traspàs. Es comença llegint què va deixar obert el torn anterior: incidents en curs, alertes pendents de resposta, canvis a la infraestructura.
2. Cua d'alertes. S'obre la consola (en el meu cas Trend Micro Vision One) i s'ordena el que ha saltat. L'ordre importa més que la velocitat: ho explico a triatge d'alertes en un SOC.
3. Investigació. Per a cada alerta real: quin actiu i quin usuari, què va passar abans i després, si l'indicador apareix en fonts d'intel·ligència, si això ja s'havia vist abans.
4. Contenció i escalat. Aïllar un equip, deshabilitar un compte, bloquejar un domini, o passar el cas al nivell següent amb tot el context ja reunit.
5. Documentació. Cada decisió queda escrita al tiquet. És la part menys vistosa i la que més estalvia l'endemà.
6. Millora. Afinar regles que generen soroll, revisar falsos positius recurrents i automatitzar informes que es repeteixen.

Els nivells d'un SOC

Nivell	Què fa
N1	Triatge: revisa alertes, descarta falsos positius, escala el rellevant.
N2	Investigació i resposta: analitza incidents, conté, coordina amb altres equips.
N3	Caça d'amenaces, anàlisi forense i de malware, enginyeria de detecció.

Els noms i els límits canvien d'una empresa a l'altra, i en un SOC petit una mateixa persona fa les tres coses.

Amb quines eines es treballa

• EDR / XDR per veure l'endpoint, el correu i la identitat. Què aporta cadascun és a XDR, SIEM i EDR.
• SIEM per centralitzar logs i cercar-hi.
• Gestor de tiquets per registrar cada cas.
• Fonts d'intel·ligència (VirusTotal, AbuseIPDB, el catàleg KEV de CISA) per saber si un indicador és conegut.
• Consola de correu i d'identitat (Microsoft 365, Entra ID) per investigar fraus de correu i comptes compromesos.

Què cal saber per començar

• Xarxes bàsiques: TCP/IP, DNS, HTTP, què és normal en un trànsit.
• Windows i Active Directory: com s'autentica un usuari i quin rastre deixa.
• Llegir logs sense espantar-se, i saber què preguntar a una línia estranya.
• Una mica d'scripting (Python o PowerShell) per no repetir a mà el que es pot automatitzar.
• Escriure clar: un bon resum d'incident val tant com una bona detecció.

Molta gent arriba des de suport tècnic o administració de sistemes, i és una bona ruta: entendre la infraestructura real pesa més que qualsevol curs. Ho explico a de suport tècnic a SOC, i quines certificacions ajuden a certificacions per començar com a analista SOC.

Preguntes freqüents

Què fa un analista SOC?

Monitoritza alertes de seguretat, decideix quines són incidents reals, les investiga i les conté o escala. A més documenta cada cas i ajuda a afinar les regles de detecció per reduir el soroll.

Quina diferència hi ha entre un analista SOC i un pentester?

L'analista SOC defensa: detecta i respon a atacs reals sobre els sistemes de l'organització. El pentester ataca de manera autoritzada per trobar debilitats abans que els atacants. Són perfils complementaris.

Es pot entrar a un SOC sense experiència prèvia?

Sí, en llocs de nivell 1, sobretot amb base en sistemes o xarxes, alguna certificació i pràctica en laboratoris. Els SOC solen valorar més la curiositat i la capacitat d'explicar un raonament que el títol.

Cal treballar de nit?

Depèn del SOC. Els que donen servei 24x7 treballen per torns; d'altres cobreixen només horari d'oficina i deixen la nit a un servei extern (MDR).