📊🧠 Proceso de Triaging de Alertas (Alert Triaging Process)

🚨 ¿Qué es el Alert Triaging?

El triaging de alertas es el proceso mediante el cual un analista SOC (Security Operations Center) evalúa y prioriza alertas generadas por herramientas de monitoreo y detección.
El objetivo es determinar el nivel de amenaza, el impacto potencial y definir si requiere escalación a niveles superiores.

⚡ Escalación de alertas

La escalación implica notificar a supervisores o equipos de respuesta a incidentes (IR) cuando la alerta supera el nivel de respuesta del analista.
El analista debe incluir:

• Severidad 🚨

• Impacto potencial 💥

• Evidencias y hallazgos iniciales 🧩

🧭 Proceso ideal de Triaging

1️⃣ Revisión inicial de la alerta

• Examinar metadatos, timestamp, IPs y sistemas afectados.

• Revisar los logs asociados (sistema, red, aplicación).

2️⃣ Clasificación de la alerta

• Evaluar severidad, impacto y urgencia.

• Asignar categoría según políticas internas.

3️⃣ Correlación de alertas

• Cruzar con otras alertas o eventos relacionados.

• Buscar patrones o IOCs conocidos 🕵️‍♀️

• Consultar threat intelligence feeds.

4️⃣ Enriquecimiento de datos

• Obtener información adicional (pcap, dumps, archivos).

• Analizar archivos sospechosos o IPs en herramientas externas (VirusTotal, sandbox, OSINT).

5️⃣ Evaluación de riesgo

• Valorar impacto en activos críticos 🖥️

• Determinar probabilidad de compromiso o movimiento lateral.

6️⃣ Análisis contextual

• Evaluar los controles de seguridad existentes (IDS, firewall, EDR).

• Considerar la criticidad del sistema y regulaciones aplicables.

7️⃣ Planificación de respuesta a incidentes

• Documentar la alerta, sistemas afectados y evidencias.

• Asignar roles al equipo IR.

• Coordinar acciones con otros equipos técnicos.

8️⃣ Consulta con IT Operations

• Obtener contexto adicional:

  • Cambios recientes 🧰

  • Mantenimientos o configuraciones.

• Confirmar si puede tratarse de una actividad legítima o un falso positivo.

9️⃣ Ejecución de la respuesta

• Si se confirma la amenaza → iniciar contención, erradicación y recuperación.

• Si se determina que no es maliciosa → documentar y cerrar.

🔺 Escalación

• Aplicar políticas internas de escalación según:

  • Compromiso de sistemas críticos

  • Técnicas avanzadas detectadas

  • Impacto generalizado

• Comunicar hallazgos y severidad al siguiente nivel.

🔁 Monitoreo continuo

• Hacer seguimiento al progreso del incidente.

• Mantener comunicación con equipos escalados.

🟢 Desescalación

• Ocurre cuando el incidente está contenido y mitigado.

• Documentar lecciones aprendidas y mejoras.

🧩 Mejores prácticas

• Mantener documentación clara de cada alerta.

• Utilizar tablas de clasificación (Low, Medium, High, Critical).

• Enriquecer alertas con fuentes externas de inteligencia.

• Revisar y actualizar el proceso según amenazas emergentes.