Curso de Analista SOC online: ruta de formación en español

• Diferenciar con claridad eventos, alertas e incidentes
• Aplicar un marco básico de triage para decidir cerrar, monitorizar o escalar
• Entender el rol del SOC y su impacto en el negocio
• Razonar como un analista bajo presión de volumen de alertas

Herramientas y fuentes: SIEM (Splunk, Elastic, Microsoft Sentinel), EDR, sistema de tickets y MITRE ATT&CK, citados como ejemplos para entender el trabajo del SOC; el curso no exige instalar ni manejar ninguno

Principiante · 35 minutos · 29 diapositivas · 3 con terminal de práctica · examen de 10 preguntas

• Leer una conexión de red e identificar origen, destino, puerto y protocolo
• Distinguir patrones normales de ruido operativo
• Detectar señales de beaconing, exfiltración y movimiento lateral
• Usar logs de firewall, DNS, proxy e IDS como fuentes de visibilidad

Herramientas y fuentes: Logs de firewall, DNS, proxy e IDS leídos como fuentes de visibilidad, y SIEM. Wireshark, Zeek y Suricata solo se nombran: el curso no enseña a manejarlos

Principiante · 35 minutos · 31 diapositivas · 4 con terminal de práctica · examen de 10 preguntas

• Usar los logs como evidencia operativa, no solo como texto técnico
• Identificar las fuentes de log clave en un SOC
• Construir secuencias de investigación básicas a partir de eventos
• Detectar huecos de visibilidad y telemetría

Herramientas y fuentes: Registros de eventos de Windows (con ejemplos de PowerShell), Sysmon, SIEM y logs de firewall y proxy. No trata syslog ni Linux

Principiante · 35 minutos · 28 diapositivas · 4 con terminal de práctica · examen de 10 preguntas

• Entender qué hace un SIEM: recoger, normalizar y correlacionar logs
• Leer e interpretar una búsqueda básica de fallos de inicio de sesión (4625) en SPL (Splunk) y en KQL (Microsoft Sentinel)
• Pivotar por usuario, IP y host para ampliar el contexto de una alerta
• Decidir si cerrar, monitorizar o escalar con contexto suficiente

Herramientas y fuentes: Ejemplos de búsqueda en SPL (Splunk) y KQL (Microsoft Sentinel) con datos ficticios; el curso no incluye un SIEM donde practicar

Principiante · 35 minutos · 30 diapositivas · 5 con terminal de práctica · examen de 10 preguntas

• Priorizar alertas usando contexto, criticidad e impacto potencial
• Validar una alerta antes de decidir
• Justificar por qué cierras, monitorizas o escalas
• Gestionar el volumen sin ahogarte en el ruido

Herramientas y fuentes: SIEM, EDR y sistema de tickets; VirusTotal y AbuseIPDB como consultas de reputación (AbuseIPDB solo consulta IP)

Medio · 30 minutos · 28 diapositivas · 3 con terminal de práctica · examen de 10 preguntas

• Reconocer los patrones de ataque habituales: phishing y macros, abuso de credenciales, robo de sesión, ransomware y uso de herramientas legítimas (living off the land)
• Relacionar señales entre distintas fuentes de datos
• Resolver dos escenarios: una factura urgente por correo y una ráfaga de inicios de sesión fallidos
• Mapear lo observado contra MITRE ATT&CK

Herramientas y fuentes: SIEM, EDR, MITRE ATT&CK y logs de correo, DNS y proxy

Medio · 30 minutos · 28 diapositivas · 4 con terminal de práctica · examen de 10 preguntas

• Analizar procesos y árboles de ejecución en un endpoint
• Interpretar líneas de comando sospechosas
• Identificar mecanismos de persistencia habituales
• Correlacionar conexiones de red para validar un posible compromiso

Herramientas y fuentes: EDR (Microsoft Defender for Endpoint, CrowdStrike), Sysmon, Autoruns y registros de eventos de Windows

Medio · 30 minutos · 28 diapositivas · 5 con terminal de práctica · examen de 10 preguntas

• Valorar la fiabilidad y relevancia de una fuente de inteligencia
• Convertir indicadores (IOCs) en contexto útil para un caso
• Usar la inteligencia para decidir mejor en un caso real
• Diferenciar la inteligencia táctica y operacional (para el SOC) de la estratégica (para la dirección)

Herramientas y fuentes: LevelBlue OTX (antes AlienVault OTX), VirusTotal, MISP, OpenCTI y MITRE ATT&CK, presentados y comparados; el curso no incluye consultas reales a estas plataformas

Medio · 30 minutos · 28 diapositivas · 3 con terminal de práctica · examen de 10 preguntas

• Explicar un flujo básico de respuesta ante incidentes
• Priorizar las acciones iniciales cuando hay presión
• Distinguir contención, erradicación y recuperación
• Documentar decisiones y evidencias durante el incidente

Herramientas y fuentes: NIST SP 800-61 (el ciclo clásico de la Rev. 2 y la Rev. 3 de 2025), EDR y SIEM como fuentes, y playbooks

Medio · 30 minutos · 28 diapositivas · 3 con terminal de práctica · examen de 10 preguntas

• Detectar quick wins de automatización en la operación SOC
• Medir el impacto de una mejora con métricas operativas (MTTD, MTTR)
• Proponer mejoras con lógica de negocio y de operación
• Evitar automatizar errores o procesos mal definidos

Herramientas y fuentes: SOAR (Shuffle, Cortex XSOAR) y Python como ejemplos, más playbooks, SIEM y sistema de tickets; el curso no incluye ninguna demostración práctica

Medio · 30 minutos · 28 diapositivas · 3 con terminal de práctica · examen de 10 preguntas

• Distinguir la telemetría de identidad y la del plano de control en Entra ID, AWS, Azure y Google Cloud
• Leer consultas de ejemplo en KQL y SPL que detectan pulverización, fatiga de MFA, reutilización de sesión y cambios de permisos
• Reconocer el abuso de consentimiento OAuth, las reglas de bandeja y la persistencia en la identidad
• Hacer el triage de una cuenta comprometida, contenerla en orden y mapear lo ocurrido a MITRE ATT&CK

Herramientas y fuentes: Microsoft Entra ID, Microsoft Sentinel (KQL), Splunk (SPL), AWS CloudTrail y GuardDuty, Azure Activity log, Google Cloud Audit Logs y MITRE ATT&CK, siempre con datos de ejemplo ficticios

Medio · 1 hora · 26 diapositivas · 1 con terminal de práctica · examen de 15 preguntas

• Plantear una detección como hipótesis, regla, prueba, despliegue y mejora
• Entender cómo se escribe una regla Sigma (selecciones, modificadores y correlaciones) y convertirla a la consulta de un SIEM con sigma-cli
• Mapear reglas a MITRE ATT&CK v19 y medir cobertura y huecos con ATT&CK Navigator
• Probar reglas con emulación en un laboratorio autorizado y medir falsos positivos antes de activarlas

Herramientas y fuentes: Sigma, sigma-cli y pySigma, MITRE ATT&CK, ATT&CK Navigator y D3FEND, Atomic Red Team (solo en laboratorio autorizado), Sysmon y los modelos de datos ECS y OCSF, con reglas y datos de ejemplo ficticios

Avanzado · 1 hora · 26 diapositivas · 2 con terminal de práctica · examen de 15 preguntas

• Decidir qué tareas del SOC admiten ayuda de IA y cuáles no, con un criterio explícito
• Reconocer los riesgos principales: alucinaciones, sesgo de automatización, fuga de datos e inyección de instrucciones
• Diseñar playbooks con niveles de autonomía, privilegios mínimos y aprobación humana
• Evaluar un asistente con casos propios y documentarlo con registros de auditoría y una política de uso

Herramientas y fuentes: Top 10 de OWASP para aplicaciones LLM, NIST AI RMF y su perfil de IA generativa, MITRE ATLAS, orientaciones de la AEPD sobre IA agéntica, consultas KQL de ejemplo y sed para enmascarar datos de un log ficticio

Medio · 1 hora · 26 diapositivas · 1 con terminal de práctica · examen de 15 preguntas

• Diseñar y aislar un laboratorio de detección con requisitos de hardware realistas y alternativas ligeras
• Desplegar Wazuh en contenedores, instalar Sysmon con una configuración pública y enviar sus eventos con el agente
• Escribir, probar y ajustar tres reglas propias (fuerza bruta, tarea programada y PowerShell codificado) y hacer el triage de su alerta
• Automatizar una respuesta que solo propone, medir cobertura y precisión, y resolver un proyecto final con rúbrica

Herramientas y fuentes: Wazuh 4.14 en contenedores (manager, indexador y panel), Sysmon con una configuración pública, agente de Wazuh para Windows, wazuh-logtest, PowerShell, bash y awk, con una máquina Windows de evaluación y datos ficticios

Medio · 1 hora · 29 diapositivas · 8 con terminal de práctica · examen de 15 preguntas