carreras
Detection / SOC Engineer
Convierte telemetría cruda en decisiones: detecta el abuso rápido, actúa con cuidado y mide el resultado.
Un ingeniero de detección o de SOC construye y opera el camino del log a la acción: recolectar telemetría, escribir y ajustar detecciones, operar controles como WAF y rate limiting, y medir qué tan bien funciona todo. Es ingeniería con cronómetro: velocidad, precisión y costo importan.
ver este camino en el mapa del recorridoUn día en el cargo
- Mantener el pipeline de telemetría y vigilarlo en busca de huecos, retrasos y fallas silenciosas.
- Escribir, probar y ajustar detecciones de credential stuffing, scraping, inyección y abuso.
- Operar WAF, rate limiting y controles de bots: observar primero, shadow después, enforcement al final.
- Ejecutar runbooks durante incidentes y convertir lo aprendido en nuevas detecciones y hardening.
- Reportar precisión, recall y tiempos de respuesta, y usarlos para decidir qué ajustar a continuación.
Etapa 1· Fundamentos
Saber cómo aparecen los ataques en los logs y cómo se recolecta la telemetría.
Estudia aquí
Aprende en otros lugares
- HTTP a fondo: cabeceras, cookies, códigos de estado
- SQL o un lenguaje de consulta parecido, usado a diario
- El framework MITRE ATT&CK como vocabulario
Construye esto
Toma un log de acceso de ejemplo, escribe consultas que revelen tres patrones de ataque y documenta la firma de cada uno.
Etapa 2· Práctica
Escribir detecciones y operar controles de borde con seguridad.
Estudia aquí
- Ingeniería de detección
- WAF - observación, shadow y enforcement
- Rate limiting adaptativo
- Bot management
Aprende en otros lugares
- Un lenguaje de scripting para pegamento y pruebas
- Nociones de estadística: baselines, z-scores, promedios móviles
- Una cuenta real de WAF o CDN para practicar
Construye esto
Lleva una detección por observación, shadow y enforcement, y reporta la tasa de falsos positivos en cada etapa.
Etapa 3· Avanzado
Escalar el pipeline, automatizar la respuesta y demostrar que funciona.
Estudia aquí
- Escala: telemetría, cardinalidad y costo
- Runbooks, respuesta y hardening posincidente
- SLOs de SOC y tuning continuo
- Defensa en capas: diseño de sistemas de borde
- Respuesta a incidentes en la nube
- Automatización de seguridad y playbooks como código
Aprende en otros lugares
- Ingeniería de datos para telemetría: particionado, agregación, costo
- Guardias y comando de incidentes
- Presentar resultados a la dirección
Construye esto
Define SLOs de triaje y contención, monta el dashboard y haz un ejercicio de mesa contra ellos.
Qué mostrar
- Una biblioteca de detecciones con pruebas: casos positivos (ataques) y negativos (tráfico normal).
- Un runbook con una escalera de escalamiento (desafío, bloqueo corto, bloqueo más largo) y TTL en cada acción.
- Un reporte de una página con precisión, recall y tiempo hasta contener, de un mes de operación.
Certificaciones (ejemplos)
- GIAC Certified Detection Analyst (GCDA)
- Splunk Core Certified Power User
- Elastic Certified Analyst
Ejemplos, no recomendaciones ni requisitos. Consulta los detalles actuales con la entidad emisora.