SOC administrado en AWS: de la alerta a la acción

1. Inventario de cuentas, regiones y recursos incluidos.
2. Sistemas críticos y propietarios de negocio identificados.
3. Cobertura horaria y exclusiones documentadas.
4. Contactos de escalamiento y suplentes confirmados.
5. Responsabilidades del cliente, proveedor y AWS diferenciadas.

Evidencia: inventario y matriz de responsabilidades aprobados.

6. Protección y uso excepcional del usuario raíz revisados.
7. Autenticación multifactor verificada para los accesos humanos definidos por la política.
8. Permisos del SOC limitados a las tareas autorizadas.
9. Alta, revisión y revocación de accesos documentadas.
10. Acceso de emergencia definido, registrado y sujeto a revisión.

Evidencia: revisión de permisos y procedimiento de acceso.

11. Cobertura de CloudTrail revisada por cuenta, región y tipo de evento requerido.
12. Fuentes adicionales de registros elegidas según los riesgos.
13. Retención y ubicación de registros acordadas.
14. Acceso y protección de los registros revisados.
15. Consulta de un evento de prueba validada por el equipo investigador.

Evidencia: configuración y resultado de consulta de prueba.

16. Cobertura de GuardDuty u otras fuentes de detección documentada.
17. Recepción de hallazgos comprobada en la herramienta de atención.
18. Severidades definidas según el impacto en el negocio.
19. Tiempos de reconocimiento, investigación y escalamiento diferenciados.
20. Excepciones y supresión de alertas sujetas a aprobación y revisión.

Evidencia: alerta de prueba, ticket y registro de notificación.

21. Procedimientos preparados para escenarios prioritarios.
22. Acciones de contención y responsables de autorizarlas identificados.
23. Preservación de evidencias y registro de decisiones contemplados.
24. Ejercicio de respuesta realizado y pendientes registrados.
25. Indicadores, reportes y revisión de lecciones aprendidas acordados.

Evidencia: playbook, minuta de ejercicio y plan de mejora.

Cliente: identifica sistemas críticos, propietarios y restricciones.

SOC: acuerda cuentas, regiones, fuentes, horarios y exclusiones.

Evidencia: inventario y alcance aprobados.

Cliente: autoriza accesos, configuraciones y costos necesarios.

SOC: valida la recepción y consulta de las señales incluidas.

Evidencia: registro de integración y pruebas.

Cliente: aporta contexto sobre usuarios, cambios y procesos.

SOC: analiza evidencias, clasifica la alerta y notifica a los responsables.

Evidencia: ticket con prioridad, hallazgos y notificaciones.

Cliente: designa quién aprueba medidas y evalúa sus efectos operativos.

SOC: propone medidas y ejecuta las comprendidas en su alcance, permisos y autorizaciones.

Evidencia: autorización previa o aprobación registrada.

Cliente: asigna responsables para corregir la causa y validar la recuperación.

SOC: aporta recomendaciones y el seguimiento previsto en el contrato.

Evidencia: plan de remediación y validación de cierre.

Cliente: prioriza pendientes y aprueba cambios en controles y procesos.

SOC: presenta los reportes acordados y propone ajustes.

Evidencia: reporte de servicio y seguimiento de mejoras.

• Registrar la alerta, la hora y la cuenta afectada.
• Identificar la credencial y su propietario.
• Consultar si la actividad corresponde a un proceso o cambio autorizado.

Resultado: señal contextualizada y responsable identificado.

• Revisar los registros disponibles y las acciones asociadas.
• Identificar recursos y permisos potencialmente afectados.
• Documentar evidencias, incertidumbres y posible impacto en el negocio.

Resultado: alcance preliminar y prioridad del incidente.

• Activar el escalamiento y las autorizaciones acordadas.
• Evaluar medidas sobre la credencial y los accesos afectados.
• Ejecutar las acciones autorizadas, considerando dependencias y preservación de evidencias.

Resultado: medidas registradas y verificación de su efecto.

• Investigar el origen y corregir las brechas identificadas.
• Validar el funcionamiento de los servicios afectados.
• Mantener vigilancia y asignar responsables y fechas a los pendientes.

Resultado: recuperación validada y acciones de mejora.

Reconocimiento

Tiempo desde la recepción de la alerta hasta el inicio registrado de su atención.

Escalamiento

Tiempo desde la clasificación que exige escalar hasta la notificación al responsable.

Pendientes

Acciones abiertas por prioridad, antigüedad, responsable y fecha acordada.

Cobertura operativa

Fuentes que reportan correctamente frente a las incluidas en el alcance.

Define el inicio y fin de cada medición, así como las dependencias del cliente.

• Cuentas, regiones y fuentes cubiertas.
• Horarios y tiempos de atención por prioridad.
• Permisos, responsables y autorizaciones.
• Entregables y periodicidad de reportes.
• Actividades de contención, remediación y recuperación incluidas.
• Costos del servicio, consumo de AWS y otras herramientas.

Es un servicio que combina personal especializado, procedimientos y herramientas para monitorear eventos de seguridad, investigar alertas y coordinar la respuesta. Su cobertura depende de las cuentas, regiones, fuentes y actividades contratadas.

Las herramientas aportan señales y capacidades técnicas. Para operar un SOC también necesitas responsables que revisen las alertas, criterios de prioridad, procedimientos de escalamiento y autorizaciones para actuar.

Significa supervisión continua de las fuentes incluidas en el servicio. Los tiempos de reconocimiento, investigación, escalamiento y ejecución de acciones deben definirse por separado en los acuerdos de atención.

Únicamente conforme a los permisos, las actividades contratadas y las autorizaciones acordadas. Antes de iniciar, define qué medidas pueden ejecutarse con autorización previa y cuáles requieren aprobación durante el incidente.

Un inventario inicial de tu entorno, responsables técnicos y de negocio, fuentes de información disponibles y un alcance de servicio acordado. La checklist de esta página permite organizar esa revisión y registrar pendientes.

La cobertura de cuentas y regiones, las fuentes de información, el volumen de eventos, los tiempos de atención y las actividades incluidas. Solicita que la propuesta distinga el servicio administrado del consumo de AWS y de otras herramientas.

El SOC puede aportar registros, seguimiento y evidencias para los controles aplicables. El cumplimiento requiere además políticas, procesos, responsabilidades y una evaluación del alcance específico de tu organización.

Puedes utilizarlas como referencia para preparar tu evaluación interna y conversar con tu proveedor. Adapta cada punto a tu arquitectura, identifica responsables y conserva evidencia de las verificaciones realizadas.