SLOs de SOC y tuning continuo
Sin números, el SOC solo cuenta historias. Con SLOs claros (tiempo de triaje, de contención, precisión y recall) cada ajuste se vuelve una decisión con evidencia.
Qué es
Un (service level objective) de seguridad es una meta numérica de lo que el equipo promete entregar: por ejemplo, hacer el triaje de alertas críticas en pocos minutos o contener ataques de antes de que pase cierto porcentaje de los intentos. Convierte un deseo vago ("responder rápido") en algo medible y discutible.
Las cuatro métricas que sostienen el resto
- (tiempo medio de triaje): desde la alerta hasta que alguien la clasifica como real o falsa.
- (tiempo medio de contención): desde la confirmación hasta que el ataque queda contenido.
- Precisión: de las alertas o bloqueos que emitió la detección, cuántos eran realmente un ataque.
- Recall: de los ataques que existían, cuántos atrapó la detección.
Precisión y recall tiran en direcciones opuestas
Subir la sensibilidad aumenta el recall y baja la precisión, con más falsos positivos; apretar la regla hace lo contrario. El punto correcto depende del costo: en el login de un banco un bloqueo equivocado cuesta un cliente molesto, pero un ataque que pasa cuesta mucho más; en un catálogo público, el equilibrio es otro. Por eso el umbral es una decisión de negocio apoyada en datos, no un ajuste técnico solitario.
-- 'confirmed' viene de la revisión semanal de los eventos en que actuó la regla
SELECT rule_id,
COUNTIF(confirmed_attack) AS true_pos,
COUNTIF(NOT confirmed_attack) AS false_pos,
SAFE_DIVIDE(COUNTIF(confirmed_attack), COUNT(*)) AS precision
FROM sec.rule_actions_reviewed
WHERE week = DATE_TRUNC(CURRENT_DATE(), WEEK)
GROUP BY rule_id
ORDER BY precision;Tuning semanal
Un ritual corto y fijo mantiene la calidad: revisar las reglas con peor precisión, mirar los falsos positivos reclamados, verificar qué pasó (recall) en los incidentes de la semana y decidir ajustes. El objetivo declarado es reducir el falso positivo sin perder cobertura, y la prueba es la métrica de precisión subiendo mientras el recall se mantiene.
Indicadores para el liderazgo
Lo que necesita la dirección no son alertas, sino tendencias: ataques contenidos, tiempo de respuesta, impacto evitado, reglas en shadow listas para pasar a enforcement. Pocos números estables, presentados con el mismo formato cada mes, construyen confianza en el programa y sostienen la inversión.
conexiones en el mapa
- SLOs de SOC y tuning continuomide la precisiónWAF - observación, shadow y enforcement
- SLOs de SOC y tuning continuoguía el tuningIngeniería de detección
actualizado el 14/10/2026 · fuentes para profundizar · reportar un error
en otros dominios
- Métricas de seguridad e informes para la direccióngrcdel SLO operativo al informe para la directiva
- Confiabilidad: SLOs, error budgets e incidentesdevopsSLOs y presupuesto de error, aplicados a la detección
- Observabilidad de la propia plataforma de seguridadsecengSLOs del SOC y SLOs de la propia plataforma
Estudia antes
pon a prueba lo que entendiste
Cargando preguntas…