Una de las métricas que con más frecuencia se utilizan para evaluar la actividad de un SOC es el número de alertas gestionadas. Sin embargo, ¿significa esto que el SOC está detectando mejor las amenazas?
La respuesta no siempre es afirmativa. Un volumen elevado de alertas puede reflejar una buena capacidad de monitorización, pero también puede ser consecuencia de reglas poco precisas, información insuficientemente contextualizada o una elevada tasa de falsos positivos. En estos casos, el principal reto deja de ser detectar más para pasar a detectar mejor.
El modelo SOC Critical Path (SCP) sitúa la detección como una fase cuyo objetivo no es generar más alertas, sino identificar aquellas actividades que realmente requieren una investigación.
Cuando las alertas dejan de ser útiles
En un SOC maduro, la eficacia de la detección no se mide únicamente por el número de alertas generadas, sino por su capacidad para identificar amenazas reales minimizando el ruido operativo.
Esto plantea una cuestión importante: ¿Las alertas que recibe el SOC ayudan a detectar un ataque o simplemente generan más trabajo para los analistas? Responder a esta pregunta puede ayudar a identificar oportunidades de mejora.
Algunas cuestiones que conviene revisar
- ¿Qué porcentaje de las alertas termina descartándose como falso positivo?
- ¿Existen reglas que apenas generan incidentes relevantes, pero continúan activas?
- ¿Las detecciones se revisan periódicamente o simplemente se acumulan con el tiempo?
- ¿Las nuevas amenazas detectadas dan lugar a nuevos casos de uso o continúan utilizándose únicamente las reglas existentes?
- ¿Las alertas aportan suficiente contexto para facilitar la investigación?
Si varias de estas preguntas generan dudas, probablemente el problema no sea la capacidad de monitorización, sino el propio modelo de detección.
Más allá de los IOC
Tradicionalmente, gran parte de las detecciones se han basado en Indicadores de Compromiso (IOC), como direcciones IP maliciosas, dominios, URLs o hashes de archivos. Este enfoque sigue siendo útil y continúa desempeñando un papel importante en la detección de amenazas conocidas.
Sin embargo, numerosos estudios coinciden en que apoyarse exclusivamente en IOC presenta limitaciones importantes. Estos indicadores pueden cambiar rápidamente o quedar obsoletos en poco tiempo, lo que obliga a actualizarlos de forma constante.
Por este motivo, cada vez más SOC complementan este enfoque con detecciones basadas en Tácticas, Técnicas y Procedimientos (TTP), es decir, en la forma en la que actúan los atacantes más que en los indicadores concretos que utilizan en cada campaña.
Este cambio permite detectar comportamientos que permanecen relativamente estables, aunque cambien las direcciones IP, los dominios o las herramientas empleadas durante el ataque.
No se trata de sustituir un modelo por otro, sino de combinarlos para conseguir una cobertura más robusta y adaptada a amenazas cada vez más sofisticadas.
Tres acciones para mejorar la capacidad de detección
Evolucionar el modelo de detección no implica necesariamente incorporar nuevas tecnologías. En muchos casos, pequeñas revisiones periódicas permiten mejorar significativamente la eficacia del SOC.
Algunas acciones que pueden aportar valor son:
- Revisar periódicamente las reglas de detección para identificar aquellas que generan un elevado volumen de falsos positivos o han perdido utilidad.
- Complementar las detecciones basadas en IOC con casos de uso orientados a comportamientos y técnicas empleadas por los atacantes.
- Medir la eficacia de las detecciones no por el número de alertas generadas, sino por su capacidad para identificar incidentes reales y facilitar el trabajo de los analistas.
La detección constituye uno de los elementos más visibles del trabajo de un SOC, pero también uno de los que requiere una revisión más constante. Es importante mantener reglas eficaces, incorporar nuevos conocimientos sobre las amenazas y evaluar periódicamente los resultados obtenidos para que el SOC evolucione al mismo ritmo que lo hacen los atacantes.
