Cómo convertirse en analista SOC desde cero: roadmap, habilidades y práctica

¿Qué hace realmente un analista SOC? #

Un Security Operations Center (SOC) es el centro neurálgico donde una organización monitoriza, detecta, investiga y responde a incidentes de ciberseguridad.

El analista SOC transforma señales y alertas en decisiones de investigación y respuesta. En el marco europeo, ENISA ECSF incluye Security Operations Center (SOC) Analyst como título alternativo del perfil Cyber Incident Responder. En NIST NICE, en cambio, un título de puesto no equivale necesariamente a un único work role: un empleo en SOC puede combinar trabajo de Defensive Cybersecurity, Incident Response y otras funciones según la organización. Microsoft utiliza Security Operations Analyst como rol específico dentro de su ecosistema de seguridad.

Cuando aparece una alerta en el panel (por ejemplo: “Inicio de sesión sospechoso seguido de ejecución de scripts”), el trabajo del analista no concluye diciendo que la herramienta emitió un aviso. Comienza un proceso metódico de investigación:

El objetivo de un analista junior: no necesitas saberlo todo #

Un candidato que opta a su primer empleo como analista SOC Junior (Tier 1) no necesita dominar ingeniería inversa de malware, forense de memoria volátil a bajo nivel ni arquitecturas complejas de automatización SOAR empresarial.

Lo que sí debe dominar con absoluta solvencia es la cadena de cuatro pasos:

Fundamentos técnicos → Observación rigurosa de logs → Metodología de investigación → Comunicación clara de conclusiones.

En procesos de selección junior es frecuente evaluar menos la cantidad de productos que conoces y más si puedes investigar una alerta sencilla de forma ordenada, justificar tus conclusiones con evidencias y comunicar con claridad qué harías después.

¿SOC Analyst es un puesto para principiantes? #

Un puesto junior de SOC puede ser una vía de entrada a la ciberseguridad defensiva, pero no todos los SOC ni todas las vacantes consideran el rol estrictamente entry-level. “Junior” describe el nivel de responsabilidad esperado; no significa trabajar sin fundamentos técnicos.

Puedes comenzar a estudiar operaciones defensivas desde cero, pero el trabajo diario exige interpretar redes, sistemas, identidad y telemetría. Antes de obsesionarte con productos concretos, revisa qué necesita saber realmente un analista SOC y utiliza este roadmap para transformar esos fundamentos en práctica investigativa.

Roadmap completo para convertirse en Analista SOC #

Si prefieres el formato en vídeo, Álvaro Chirou desglosa todo el recorrido paso a paso en el vídeo completo del roadmap de Analista SOC que encabeza esta guía.

Este recorrido está centrado en el trabajo operativo de SOC. Si quieres situarlo dentro de una ruta defensiva más amplia —detección, respuesta, threat hunting y especialización— consulta el Blue Team roadmap.

Pasos 1 a 3: Redes, Windows y Linux #

Paso 1: Redes

Un SOC procesa continuamente tráfico perimetral e interno. Debes ser capaz de interpretar flujos como 10.10.4.25 → 192.0.2.80:443 y deducir qué equipo inició la sesión, cómo se resolvió el dominio vía DNS y qué datos necesitas para determinar si la conexión es legítima. Para dominar la inspección de paquetes a bajo nivel, consulta nuestra guía sobre filtros de Wireshark y análisis de tráfico.

Paso 2: Windows y árboles de procesos

En el entorno corporativo, la mayoría de los ataques tienen como objetivo puestos de trabajo y servidores Windows. Debes aprender a pensar en árboles de procesos:

# Ejecución normal de usuario:
explorer.exe └── chrome.exe

# Ejecución anómala que exige investigación inmediata:
winword.exe └── powershell.exe -enc JABjAGwAYQ... └── conhost.exe

Paso 3: Linux

Servidores web, bases de datos y cargas de trabajo cloud operan masivamente bajo Linux. Como analista defensivo debes saber verificar qué usuario inició sesión, qué sockets de red están abiertos y qué eventos registran los ficheros en /var/log/.

Pasos 4 y 5: Identidad, Active Directory y Fundamentos de seguridad #

La identidad es el perímetro crítico moderno. Debes comprender conceptos de autenticación vs. autorización, tokens de sesión, MFA y la arquitectura de Active Directory / Entra ID (Domain Controllers, políticas GPO y el protocolo Kerberos).

Para reconocer una anomalía (como un intento de fuerza bruta o un ataque de Kerberoasting), primero debes tener perfectamente claro cómo transcurre una autenticación normal de un usuario corporativo.

Pasos 6 a 8: Logs, Timelines, SIEM y EDR #

El valor de un analista reside en construir líneas temporales (timelines) que conecten eventos dispersos:

14:01  Authentication failed (User: maria)
14:02  Authentication failed (User: maria)
14:04  Authentication successful (User: maria)
14:06  Process Creation: powershell.exe (User: maria)
14:07  DNS Query: c2-domain.xyz
14:07  Network Connection Outbound: 203.0.113.50:443
14:10  Scheduled Task Created: UpdateCheck

El SIEM (por ejemplo, Microsoft Sentinel, Splunk o Elastic) centraliza y permite consultar grandes volúmenes de eventos; el EDR aporta telemetría y capacidad de respuesta sobre endpoints. Antes de automatizar, conviene entender qué diferencia un SIEM de un SOAR y qué debe aprender primero un analista SOC.

Pasos 9 a 11: MITRE ATT&CK, Triage e Investigación metódica #

No necesitas memorizar números de técnicas de MITRE ATT&CK. Lo fundamental es entender el comportamiento adversario y usar ATT&CK como lenguaje para describir tácticas y técnicas observadas durante una investigación, no como una checklist que sustituya la evidencia.

Durante el triage de alertas, evalúa la severidad según la criticidad del activo afectado y sigue siempre una regla de oro profesional:

Separa rigurosamente los hechos comprobados por evidencias en logs de las hipótesis de trabajo que aún requieren confirmación.

Pasos 12 y 13: Escalado estructurado e Incident Response básico #

Un analista junior debe reconocer cuándo una alerta supera su nivel de autoridad y escalar el caso con contexto suficiente. El objetivo no es “resolverlo todo” en L1, sino preservar evidencias, describir alcance e impacto y activar el proceso adecuado. Para profundizar, revisa nuestra guía de Incident Response y las recomendaciones vigentes de NIST SP 800-61 Rev. 3. Un caso práctico relacionado es el triaje inicial ante ransomware.

Niveles SOC L1, L2 y L3: modelo habitual, no estándar universal #

Importante: L1/L2/L3 es una convención organizativa frecuente, pero no una taxonomía universal. NIST NICE distingue work roles de títulos de puesto y una organización puede repartir triage, investigación, respuesta, hunting o detection engineering de otra manera. La tabla siguiente sirve como modelo orientativo, no como norma.

Habilidades técnicas: Scripting (Python/PowerShell) y Consultas #

Para un analista junior, no se exige programar aplicaciones completas, sino ser capaz de automatizar tareas sencillas con Python (consumir APIs de VirusTotal o AbuseIPDB), PowerShell (consultar eventos en hosts Windows) y dominar lenguajes de consulta como KQL (Kusto Query Language) o SPL para interrogar al SIEM.

Certificaciones para SOC (Security+, SC-200, BTL1) en perspectiva #

• CompTIA Security+ SY0-701: certificación generalista para validar fundamentos de seguridad, amenazas, arquitectura, operaciones y gestión de riesgos. Puede ser útil como base, pero no sustituye laboratorios de investigación.
• Microsoft SC-200 / Security Operations Analyst Associate: credencial de nivel intermedio orientada al ecosistema Microsoft; en 2026 evalúa respuesta a incidentes, threat hunting y operaciones con Defender XDR, Sentinel y servicios relacionados.
• BTL1 / CCD y otras credenciales prácticas: pueden complementar el aprendizaje cuando buscas evaluación basada en escenarios. Revisa siempre temario, formato y actualización de cada proveedor antes de elegir.

Si todavía no tienes claro el orden, compara objetivos, experiencia previa y orientación defensiva en nuestra guía de certificaciones Blue Team.

5 Laboratorios prácticos para practicar SOC sin experiencia #

Cómo construir un portfolio de Analista SOC #

Es preferible presentar pocos casos de investigación bien documentados que acumular certificados sin demostrar el proceso. Si necesitas una estructura para publicarlos, utiliza la guía de portfolio de ciberseguridad y adapta cada proyecto a evidencias, hipótesis, timeline, decisión y lecciones aprendidas.

1. Caso 1: Investigación de autenticación anómala (análisis de accesos remotos y descarte de falsos positivos).
2. Caso 2: Detección de ejecución sospechosa y tráfico C2 (árbol de procesos y correlación de red).
3. Caso 3: Análisis de persistencia en endpoints (modificación de claves de registro o tareas de cron).

Cómo saber si estás listo y cómo preparar entrevistas técnicas #

En una entrevista técnica junior pueden aparecer escenarios abiertos como:

• “Recibes una alerta de malware en un puesto de trabajo, ¿cuáles son tus primeros 3 pasos?” (Validar telemetría, comprobar si hubo ejecución activa y verificar el alcance antes de aislar).
• “¿Qué diferencia a una alerta de un incidente?” (Una alerta es una señal que requiere análisis; un incidente es un evento verificado que amenaza la confidencialidad, integridad o disponibilidad y activa el protocolo de respuesta).

Errores frecuentes al prepararte para SOC #

1. Empezar estudiando herramientas SIEM sin dominar redes ni sistemas: Aprendes dónde hacer clic sin entender qué significa la información.
2. Memorizar números de Event ID sin criterio de investigación: Lo esencial es formular la pregunta analítica correcta.
3. Consumir cursos de forma pasiva sin realizar laboratorios propios: La habilidad defensiva se adquiere investigando datos reales.
4. Ignorar los servidores Linux o la identidad corporativa: Limita enormemente las posibilidades en entornos cloud y empresariales.

Preguntas frecuentes sobre cómo ser analista SOC #

Conclusión y fuentes utilizadas #

Para conseguir tu primer trabajo en un SOC, aprende a investigar:

Cuando puedas demostrar esta metodología en varios escenarios prácticos, tendrás evidencias concretas para presentar en candidaturas junior. El siguiente reto no es memorizar más herramientas, sino documentar tu razonamiento y practicar con datos suficientes para defender tus decisiones técnicas.

Fuentes oficiales consultadas

• ENISA — European Cybersecurity Skills Framework (ECSF): perfil Cyber Incident Responder y títulos alternativos asociados a SOC.
• NIST NICE Framework Components v2.2.0: versión vigente de work roles, competencias y TKS.
• NIST — Occupations, Jobs, and Work Roles: diferencia entre título de puesto y work role.
• Microsoft Learn — Security Operations Analyst Associate: alcance vigente del rol y SC-200.
• MITRE ATT&CK: base de conocimiento de tácticas y técnicas adversarias.
• NIST SP 800-61 Rev. 3: recomendaciones vigentes de respuesta a incidentes.