Cómo convertirse en analista SOC desde cero: roadmap, habilidades y práctica

¿Qué hace realmente un analista SOC? #

Un Security Operations Center (SOC) es el centro neurálgico donde una organización monitoriza, detecta, investiga y responde a incidentes de ciberseguridad.

El analista SOC es el profesional que transforma las señales y alertas generadas por los sistemas en decisiones informadas. Microsoft define formalmente al Security Operations Analyst como el rol responsable de supervisar, identificar, investigar y responder a amenazas en endpoints, identidades y redes. Por su parte, INCIBE y el marco europeo ENISA sitúan al analista SOC dentro del perfil de Cyber Incident Responder, encargado de recopilar evidencias técnicas, documentar hallazgos y contener incidentes.

Cuando aparece una alerta en el panel (por ejemplo: “Inicio de sesión sospechoso seguido de ejecución de scripts”), el trabajo del analista no concluye diciendo que la herramienta emitió un aviso. Comienza un proceso metódico de investigación:

El objetivo de un analista junior: no necesitas saberlo todo #

Un candidato que opta a su primer empleo como analista SOC Junior (Tier 1) no necesita dominar ingeniería inversa de malware, forense de memoria volátil a bajo nivel ni arquitecturas complejas de automatización SOAR empresarial.

Lo que sí debe dominar con absoluta solvencia es la cadena de cuatro pasos:

Fundamentos técnicos → Observación rigurosa de logs → Metodología de investigación → Comunicación clara de conclusiones.

La pregunta clave que evalúa un responsable de selección en una entrevista junior no es “¿cuántos productos conoces?”, sino: “¿eres capaz de investigar una alerta sencilla de forma ordenada y justificar tus conclusiones con evidencias?”

¿SOC Analyst es un puesto para principiantes? #

El puesto de analista SOC suele considerarse la principal puerta de entrada al mundo de la ciberseguridad corporativa. Sin embargo, junior no significa carecer de conocimientos técnicos.

Cualquier persona puede comenzar a estudiar operaciones defensivas desde cero, pero desempeñar el trabajo diario requiere comprender redes, sistemas operativos y mecanismos de autenticación para poder interpretar lo que las herramientas muestran. El roadmap formativo tiene como fin cerrar esa brecha con práctica real.

Operaciones Defensivas & SOC

Automatización de Ciberseguridad con n8n e IA: SIEM y SOAR

Aprende a integrar alertas de SIEM, enriquecer IoCs automáticamente y orquestar flujos de respuesta defensiva con IA.

Roadmap completo para convertirse en Analista SOC #

Pasos 1 a 3: Redes, Windows y Linux #

Paso 1: Redes

Un SOC procesa continuamente tráfico perimetral e interno. Debes ser capaz de interpretar flujos como 10.10.4.25 → 192.0.2.80:443 y deducir qué equipo inició la sesión, cómo se resolvió el dominio vía DNS y qué datos necesitas para determinar si la conexión es legítima.

Paso 2: Windows y árboles de procesos

En el entorno corporativo, la mayoría de los ataques tienen como objetivo puestos de trabajo y servidores Windows. Debes aprender a pensar en árboles de procesos:

# Ejecución normal de usuario:
explorer.exe └── chrome.exe

# Ejecución anómala que exige investigación inmediata:
winword.exe └── powershell.exe -enc JABjAGwAYQ... └── conhost.exe

Paso 3: Linux

Servidores web, bases de datos y cargas de trabajo cloud operan masivamente bajo Linux. Como analista defensivo debes saber verificar qué usuario inició sesión, qué sockets de red están abiertos y qué eventos registran los ficheros en /var/log/.

Pasos 4 y 5: Identidad, Active Directory y Fundamentos de seguridad #

La identidad es el perímetro crítico moderno. Debes comprender conceptos de autenticación vs. autorización, tokens de sesión, MFA y la arquitectura de Active Directory / Entra ID (Domain Controllers, políticas GPO y el protocolo Kerberos).

Para reconocer una anomalía (como un intento de fuerza bruta o un ataque de Kerberoasting), primero debes tener perfectamente claro cómo transcurre una autenticación normal de un usuario corporativo.

Pasos 6 a 8: Logs, Timelines, SIEM y EDR #

El valor de un analista reside en construir líneas temporales (timelines) que conecten eventos dispersos:

14:01  Authentication failed (User: maria)
14:02  Authentication failed (User: maria)
14:04  Authentication successful (User: maria)
14:06  Process Creation: powershell.exe (User: maria)
14:07  DNS Query: c2-domain.xyz
14:07  Network Connection Outbound: 203.0.113.50:443
14:10  Scheduled Task Created: UpdateCheck

El SIEM (como Microsoft Sentinel, Splunk o Elastic) te permite centralizar y buscar estos eventos masivos mediante lenguajes estructurados (KQL, SPL). El EDR te aporta la visibilidad directa sobre los procesos y archivos del endpoint para aislar hosts en caso de amenaza confirmada.

Pasos 9 a 11: MITRE ATT&CK, Triage e Investigación metódica #

No necesitas memorizar números de técnicas de MITRE ATT&CK. Lo fundamental es entender qué persigue el atacante (acceso inicial, persistencia, escalada, movimiento lateral o exfiltración).

Durante el triage de alertas, evalúa la severidad según la criticidad del activo afectado y sigue siempre una regla de oro profesional:

Separa rigurosamente los hechos comprobados por evidencias en logs de las hipótesis de trabajo que aún requieren confirmación.

Pasos 12 y 13: Escalado estructurado e Incident Response básico #

Un analista junior debe saber cuándo una alerta supera su nivel de autoridad y cómo escalar el caso de manera impecable.

Niveles SOC L1, L2 y L3: responsabilidades reales #

Nivel	Responsabilidades principales	Habilidades clave requeridas
Tier 1 / L1	Monitorización 24/7, triage de alertas, descarte de falsos positivos, documentación y escalado.	Redes, Windows/Linux básico, lectura de logs, consultas en SIEM y redacción clara.
Tier 2 / L2	Investigación profunda de incidentes, contención técnica, análisis forense inicial y remediación.	Análisis forense en endpoints (EDR), scripting avanzado, análisis de malware básico y correlación.
Tier 3 / L3	Threat Hunting proactivo, Detection Engineering, diseño de arquitecturas defensivas e ingeniería de incidentes.	Creación de reglas Sigma/YARA, automatización SOAR, ingeniería inversa y modelado de amenazas.

Habilidades técnicas: Scripting (Python/PowerShell) y Consultas #

Para un analista junior, no se exige programar aplicaciones completas, sino ser capaz de automatizar tareas sencillas con Python (consumir APIs de VirusTotal o AbuseIPDB), PowerShell (consultar eventos en hosts Windows) y dominar lenguajes de consulta como KQL (Kusto Query Language) o SPL para interrogar al SIEM.

Certificaciones para SOC (Security+, SC-200, BTL1) en perspectiva #

• CompTIA Security+ SY0-701: Excelente estándar internacional para validar fundamentos de redes, amenazas y arquitectura de seguridad.
• Microsoft SC-200 (Security Operations Analyst): Certificación intermedia muy valorada en empresas que operan con Microsoft Sentinel y Defender XDR.
• BTL1 (Blue Team Level 1) / CCD (Certified CyberDefender): Exámenes 100 % prácticos centrados en operaciones defensivas, análisis de tráfico y SIEM.

5 Laboratorios prácticos para practicar SOC sin experiencia #

Cómo construir un portfolio de Analista SOC #

Es preferible presentar tres casos de investigación documentados con rigor que decenas de certificados sin respaldo práctico:

1. Caso 1: Investigación de autenticación anómala (análisis de accesos remotos y descarte de falsos positivos).
2. Caso 2: Detección de ejecución sospechosa y tráfico C2 (árbol de procesos y correlación de red).
3. Caso 3: Análisis de persistencia en endpoints (modificación de claves de registro o tareas de cron).

Cómo saber si estás listo y cómo preparar entrevistas técnicas #

En una entrevista técnica junior, los reclutadores plantearán escenarios abiertos:

• “Recibes una alerta de malware en un puesto de trabajo, ¿cuáles son tus primeros 3 pasos?” (Validar telemetría, comprobar si hubo ejecución activa y verificar el alcance antes de aislar).
• “¿Qué diferencia a una alerta de un incidente?” (Una alerta es una señal que requiere análisis; un incidente es un evento verificado que amenaza la confidencialidad, integridad o disponibilidad y activa el protocolo de respuesta).

Errores frecuentes al prepararte para SOC #

1. Empezar estudiando herramientas SIEM sin dominar redes ni sistemas: Aprendes dónde hacer clic sin entender qué significa la información.
2. Memorizar números de Event ID sin criterio de investigación: Lo esencial es formular la pregunta analítica correcta.
3. Consumir cursos de forma pasiva sin realizar laboratorios propios: La habilidad defensiva se adquiere investigando datos reales.
4. Ignorar los servidores Linux o la identidad corporativa: Limita enormemente las posibilidades en entornos cloud y empresariales.

Preguntas frecuentes sobre cómo ser analista SOC #

Conclusión y fuentes utilizadas #

Para conseguir tu primer trabajo en un SOC, aprende a investigar:

Cuando seas capaz de demostrar esta metodología en varios escenarios prácticos, habrás construido el perfil que buscan los Centros de Operaciones de Seguridad.

Fuentes oficiales consultadas

• ENISA ECSF / ESCO Crosswalk: Mapeo del perfil profesional Cyber Incident Responder y homologación con analista SOC.
• INCIBE: Perfil profesional de Cyber Incident Responder y funciones operativas dentro de SOCs y CSIRTs.
• NIST NICE Framework (v2.2.0, 2026): Definición de Work Roles y competencias en análisis de ciberdefensa.
• Microsoft Learn: Competencias operativas y certificación SC-200 para Security Operations Analysts (actualizado 2026).