La automatización se ha convertido en uno de los grandes objetivos de los SOC modernos. Sin embargo, automatizar más no siempre significa trabajar mejor. De hecho, intentar automatizar procesos poco maduros o mal definidos puede generar más problemas que beneficios.
El modelo SOC Critical Path (SCP) sitúa la automatización como un elemento de apoyo a todo el ciclo operativo del SOC. Su finalidad no es sustituir el criterio del analista, sino eliminar aquellas tareas repetitivas que consumen tiempo y retrasan la respuesta frente a un incidente.
La pregunta, por tanto, no es qué puede automatizarse, sino qué merece realmente la pena automatizar.
No todo el trabajo de un SOC debería automatizarse
Una investigación suele combinar tareas de naturaleza muy distinta. Algunas requieren experiencia, análisis y toma de decisiones. Otras son repetitivas y siguen siempre el mismo procedimiento.
Por ejemplo:
- Consultar automáticamente información sobre una dirección IP, un dominio o un hash.
- Obtener datos del activo afectado o del usuario implicado.
- Enriquecer una alerta con información de diferentes fuentes.
- Clasificar determinados eventos según criterios previamente definidos.
- Ejecutar comprobaciones básicas antes de escalar un incidente.
Todas estas acciones pueden reducir significativamente el tiempo dedicado a tareas operativas sin sustituir el análisis humano.
En cambio, decisiones como determinar el alcance de un incidente, valorar su impacto o decidir la estrategia de respuesta siguen requiriendo el criterio del analista.
¿Dónde invierte realmente tiempo tu equipo?
Antes de plantear nuevas automatizaciones, puede resultar útil responder a una pregunta sencilla:
¿Qué tareas realizan todos los analistas, todos los días y siempre de la misma manera?
Si la respuesta incluye actividades como buscar información en distintas plataformas, recopilar datos para contextualizar una alerta o ejecutar comprobaciones repetitivas, probablemente exista margen para reducir carga operativa mediante automatización.
Por el contrario, si las tareas cambian continuamente o dependen de decisiones complejas, automatizarlas puede aportar poco valor e incluso dificultar el trabajo del equipo.
Automatizar para reducir ruido, no para generar más actividad
Uno de los riesgos más habituales consiste en asociar la automatización únicamente con la velocidad. Sin embargo, una automatización bien diseñada también debe contribuir a mejorar la calidad del trabajo del SOC.
Algunas prácticas que pueden ayudar a conseguirlo son:
- Priorizar la automatización de tareas repetitivas que consumen tiempo y aportan poco valor analítico.
- Automatizar el enriquecimiento de las alertas para que el contexto esté disponible desde el inicio de la investigación.
- Revisar periódicamente las automatizaciones implantadas para comprobar que siguen siendo útiles y responden a las necesidades actuales del SOC.
- Utilizar la automatización para reducir el volumen de tareas manuales y facilitar la priorización de alertas realmente relevantes, evitando aumentar el ruido operativo.
La automatización aporta su mayor valor cuando permite que los analistas dediquen menos tiempo a tareas mecánicas y más tiempo a investigar, comprender y responder a las amenazas.
