La CuevaBLUE TEAM
Rutas›N6›Liderazgo, automatización y mejora

RC-N6-M04 · AUTONOMÍA SOC L3

Liderazgo, automatización y mejora

Playbooks, métricas, automatización segura y madurez operativa.

6 clases4 herramientas SOC1 caso integrador

Autonomía del nivel. Hunts abiertos, ingeniería de detección, métricas y comunicación ejecutiva sin una única respuesta.

CASO TRANSVERSAL
Asteria Logistics S.A.Hunting y mejora SOC L3

La evidencia es ambigua y no existe una única respuesta; las decisiones deben defenderse técnica y ejecutivamente.

ESTADO OPERATIVOBorrador local
Clases acreditadas
0/6
Informes aprobados
0
Evidencias acumuladas
0
Revisiones pendientes
0
Integrador
Preparación
Competencia más débil
commands · 0%

MAPA DE COMPETENCIAS · NICE TKS

Lo que vas a poder hacer, comprender y demostrar.

NICE 2.2.0
T

Tareas profesionales

  • LC-T-N6-M04-01Convertir un caso frecuente en flujo operativo.Diseñar playbooks accionablesTarea aplicada y entrega: Trigger, enrichment, decision, action, owner y exit.
  • LC-T-N6-M04-02Revisar una automatización que bloquea sin contexto.Automatización segura y reversibleTarea aplicada y entrega: Permission, scope, approval, timeout, rollback y audit.
  • LC-T-N6-M04-03Diseñar un tablero equilibrado.Métricas que sirven al SOCTarea aplicada y entrega: MTTD, MTTR, precision, backlog, dwell time y coverage.
  • LC-T-N6-M04-04Facilitar una revisión basada en hechos y sistemas.Post-incident review sin culpaTarea aplicada y entrega: Timeline, decision, contributing factor, action y owner.
  • LC-T-N6-M04-05Construir un plan de 90 días con dependencias.Roadmap de cobertura defensivaTarea aplicada y entrega: Gap, risk, datasource, effort, owner y milestone.
  • LC-T-N6-M04-06Defender una estrategia completa ante un comité técnico.Capstone SOC L3: elevar la defensaTarea aplicada y entrega: Incident, detection, hunt, playbook, metric y roadmap.
K

Conocimientos

  • LC-K-N6-M04-01Definir entradas, decisiones, owners, salidas y excepciones.Diseñar playbooks accionablesDiagnóstico, demostración anotada y micropráctica de “Diseñar playbooks accionables”.
  • LC-K-N6-M04-02Elegir acciones de bajo riesgo, límites y rollback.Automatización segura y reversibleDiagnóstico, demostración anotada y micropráctica de “Automatización segura y reversible”.
  • LC-K-N6-M04-03Medir capacidad, calidad y riesgo sin incentivar cierres rápidos vacíos.Métricas que sirven al SOCDiagnóstico, demostración anotada y micropráctica de “Métricas que sirven al SOC”.
  • LC-K-N6-M04-04Convertir el incidente en acciones con owner y fecha.Post-incident review sin culpaDiagnóstico, demostración anotada y micropráctica de “Post-incident review sin culpa”.
  • LC-K-N6-M04-05Priorizar brechas por riesgo, telemetría y esfuerzo.Roadmap de cobertura defensivaDiagnóstico, demostración anotada y micropráctica de “Roadmap de cobertura defensiva”.
  • LC-K-N6-M04-06Integrar investigación, detección, hunting, DFIR y operación.Capstone SOC L3: elevar la defensaDiagnóstico, demostración anotada y micropráctica de “Capstone SOC L3: elevar la defensa”.
S

Habilidades

  • LC-S-N6-M04-01Producir trigger, enrichment, decision, action, owner y exit con una fuente verificable.Diseñar playbooks accionablesLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N6-M04-02Producir permission, scope, approval, timeout, rollback y audit con una fuente verificable.Automatización segura y reversibleLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N6-M04-03Producir mttd, mttr, precision, backlog, dwell time y coverage con una fuente verificable.Métricas que sirven al SOCLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N6-M04-04Producir timeline, decision, contributing factor, action y owner con una fuente verificable.Post-incident review sin culpaLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N6-M04-05Producir gap, risk, datasource, effort, owner y milestone con una fuente verificable.Roadmap de cobertura defensivaLaboratorio individual, validación de evidencia e informe final.
  • LC-S-N6-M04-06Producir incident, detection, hunt, playbook, metric y roadmap con una fuente verificable.Capstone SOC L3: elevar la defensaLaboratorio individual, validación de evidencia e informe final.
ROLES RELACIONADOS
PD-WRL-006Threat AnalysisProtection and Defense
PD-WRL-003Incident ResponseProtection and Defense

Cómo leer esta alineación. Alineación editorial de La Cueva Blue Team con NICE v2.2.0. Los códigos de rol NICE son oficiales; los identificadores LC-T/K/S son trazadores curriculares locales que conectan cada resultado con una clase y una evidencia observable. No equivalen a un puesto, certificación ni aval de NIST.

DIAGNÓSTICO INICIAL · NO BLOQUEANTE

¿Estás listo para liderazgo, automatización y mejora?

Son tres preguntas y un microcaso. El resultado recomienda repasos, pero nunca bloquea tu avance.

4 decisiones · 6 min
01Ante “Convertir un caso frecuente en flujo operativo.”, ¿qué evidencia mínima responde mejor la pregunta?
02Ante “Revisar una automatización que bloquea sin contexto.”, ¿qué evidencia mínima responde mejor la pregunta?
03Ante “Diseñar un tablero equilibrado.”, ¿qué evidencia mínima responde mejor la pregunta?
04Defender una estrategia completa ante un comité técnico. ¿Cuál sería el primer movimiento defendible?
Continuar sin diagnóstico

CASO TRANSVERSAL · MUNDO PERSISTENTE

Asteria cambia; su historia no se reinicia.

Los activos, identidades y comportamientos base continúan entre N0 y N6. Cada módulo agrega contexto sin contradecir los capítulos anteriores.

N6 · CAPÍTULO 04
SEDES Y SERVICIOS

Asteria Logistics S.A.

⌁ Buenos Aires · sede central

⌁ Córdoba · centro operativo

⌁ Montevideo · oficina regional

ACTIVOS EN ALCANCE
LAP-FIN-042

Estación de cuentas por pagar

Lucía Ferrer
WS-RRHH-017

Estación de Recursos Humanos

Sofía Ríos
LAP-IT-008

Soporte y administración

Martín Vega
VPN-GW-01

Acceso remoto

Infraestructura
IDENTIDADES CONOCIDAS
Sofía Ríos · s.rios

Recursos Humanos

L–V · 09:00–18:00 · Buenos Aires
Martín Vega · m.vega

Soporte de TI

Turno rotativo · acceso administrativo aprobado
Diego Acosta · d.acosta

Infraestructura

Cuenta privilegiada separada · cambios con ticket
svc_backup

Servicio de respaldo

Ejecución diaria · 02:00 UTC
TELEMETRÍA DISPONIBLE
SIEMEDRIdPVPNCorreoFirewallTickets

Cambio más reciente

La revisión posterior al incidente identificó una brecha de telemetría en sesiones de nube.

LÍNEA BASE

✓ Hunts con hipótesis explícita

✓ Detecciones probadas con actividad legítima

✓ Métricas con población y período

LÍNEA TEMPORAL DE ASTERIA

La organización acumula cambios, excepciones e incidentes.

Los datos de una clase pueden cambiar de significado por una decisión anterior. El caso transversal nunca reinicia la historia.

7 hitos
  1. Activo

    Inventario inicial

    DC-BA-01, ERP-BA-01 y FS-BA-01 reciben propietario técnico y criticidad.

  2. Infraestructura

    Conectividad regional

    Córdoba y Montevideo se incorporan mediante VPN; se documentan rangos y DNS interno.

  3. Identidad

    Active Directory

    Se separan cuentas estándar, privilegiadas y de servicio; aparecen excepciones temporales.

  4. Control

    Telemetría central

    EDR, correo y eventos de identidad comienzan a enviarse a una plataforma común.

  5. Operación

    Apertura del SOC

    Se define cola, prioridad, SLA, 5W y handoff entre turnos.

  6. Incidente

    Investigación multihost

    Una identidad conecta endpoint, VPN y ERP; se formaliza preservación previa a contención.

  7. Mejora

    Programa de hunting

    El post-incidente se convierte en hipótesis, detecciones y métricas de cobertura.

    Contexto activo en este módulo

MAPA DE DEPENDENCIAS

Qué necesitás, qué construís y dónde vuelve a aparecer.

TRAZABILIDAD CURRICULAR
ANTES

Conocimientos requeridos

Procesos y archivos

Identidad y permisos

Timestamps y procedencia

EN ESTE MÓDULO

Secuencia de construcción

01Diseñar playbooks accionables

02Automatización segura y reversible

03Métricas que sirven al SOC

04Post-incident review sin culpa

05Roadmap de cobertura defensiva

06Capstone SOC L3: elevar la defensa

DESPUÉS

Se reutiliza en

Threat hunting

Detection Engineering

DFIR y comunicación ejecutiva

RESPUESTA A INCIDENTES · NIST SP 800-61 REV. 3

La investigación forma parte de un sistema de gestión.

NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.

  1. 01Governprepara y reduce riesgo
  2. 02Identifyprepara y reduce riesgo
  3. 03Protectprepara y reduce riesgo
  4. 04Detectrespuesta al incidente
  5. 05Respondrespuesta al incidente
  6. 06Recoverrespuesta al incidente

SIMULACIÓN LABORAL ESPECÍFICA

SOC L3 y Detection Engineering

Partís de una hipótesis abierta y debés medir cobertura, ruido y valor operativo.

CONTEXTO DE TURNO
CONDICIONES REALES

○ Sin una única respuesta

○ Telemetría incompleta

○ Comunicación ejecutiva

LO QUE PRODUCIRÍA EL ANALISTA

✓ Hunt

✓ Detección

✓ Métricas y resumen ejecutivo

CRITERIO DE ÉXITO

Otra persona puede continuar el caso sin repetir tu investigación, conoce los límites y sabe cuál es el próximo paso seguro.

HERRAMIENTAS DE OPERACIÓN · DESDE CERO

La consola cambia; el método permanece.

En este módulo aprendés para qué sirve cada herramienta, cómo instalarla o acceder a ella, qué consulta responde y qué entregable produce. Los ejemplos usan datos ficticios y entornos autorizados.

4 herramientas
SOC · automatización

Shuffle SOAR

Orquestar enriquecimiento, decisiones y acciones con aprobación humana.

PRIMER PASO

Usá la instancia cloud o despliegue oficial de laboratorio.

VERIFICACIÓNAbrí el workflow de prueba y ejecutá una entrada sintética.
CONSULTA PROFESIONALfixture-phish-001 → parse URL → enrich → require approval

Probar el flujo con un caso sintético sin ejecutar acciones externas.

PlaybookDocumentación oficial ↗
SOC · case management

TheHive

Gestión de casos, tareas, observables y colaboración para respuesta a incidentes.

PRIMER PASO

Seguí la documentación oficial o el despliegue de laboratorio provisto por la academia.

VERIFICACIÓNAbrí la consola web y comprobá que el estado del servicio sea healthy.
CONSULTA PROFESIONALPHISH-0007 · URL reportada · medium · analyst-a · 4h

Convertir una alerta investigable en un expediente con owner y prioridad.

Caso SOCDocumentación oficial ↗
Intel · cobertura

MITRE ATT&CK Navigator

Visualizar técnicas, cobertura, gaps y prioridades de una defensa.

PRIMER PASO

Podés usar la instancia web o desplegar el proyecto oficial para un entorno privado.

VERIFICACIÓNAbrí Navigator y confirmá la matriz Enterprise correcta.
CONSULTA PROFESIONALT1059.001 · 2 · Sysmon Event ID 1 · Asteria lab

Registrar técnicas observadas, cobertura y prioridad.

Capa NavigatorDocumentación oficial ↗
Intelligence · CTI

MISP

Compartir eventos, atributos, taxonomías y relaciones de inteligencia de amenazas.

PRIMER PASO

Usá una instancia de práctica o el despliegue oficial documentado.

VERIFICACIÓNAbrí la instancia y comprobá que el usuario de laboratorio tenga rol de analista.
CONSULTA PROFESIONALAsteria phishing exercise · 2026-08-24 · medium · sharing-group-lab

Documentar contexto, distribución, amenaza y atributos.

Evento CTIDocumentación oficial ↗

Regla del laboratorio. Las máquinas web de la academia aceptan las consultas implementadas para ese escenario y bloquean mutaciones, red real y procesos reales. La instalación completa se practica en una VM o servicio de laboratorio propio, siguiendo la documentación oficial.

CLASES DEL MÓDULO

Cada clase produce evidencia reutilizable.

Fundamentos, comandos, demostración, práctica guiada, investigación independiente e informe final.

6 expedientes
  1. 01
    Diseñar playbooks accionables

    Definir entradas, decisiones, owners, salidas y excepciones.

    120–140 min · evidencia: Trigger, enrichment, decision, action, owner y exit
    LABPRO0%→
  2. 02
    Automatización segura y reversible

    Elegir acciones de bajo riesgo, límites y rollback.

    120–140 min · evidencia: Permission, scope, approval, timeout, rollback y audit
    LABPRO0%🔒
  3. 03
    Métricas que sirven al SOC

    Medir capacidad, calidad y riesgo sin incentivar cierres rápidos vacíos.

    120–140 min · evidencia: MTTD, MTTR, precision, backlog, dwell time y coverage
    LABPRO0%🔒
  4. 04
    Post-incident review sin culpa

    Convertir el incidente en acciones con owner y fecha.

    120–140 min · evidencia: Timeline, decision, contributing factor, action y owner
    LABPRO0%🔒
  5. 05
    Roadmap de cobertura defensiva

    Priorizar brechas por riesgo, telemetría y esfuerzo.

    120–140 min · evidencia: Gap, risk, datasource, effort, owner y milestone
    LABPRO0%🔒
  6. 06
    Capstone SOC L3: elevar la defensa

    Integrar investigación, detección, hunting, DFIR y operación.

    120–140 min · evidencia: Incident, detection, hunt, playbook, metric y roadmap
    LABPRO0%🔒

EXPEDIENTE ACUMULATIVO DE ASTERIA

El integrador comienza con lo que ya produjiste.

Consultas, comandos, evidencia, informes y decisiones quedan asociados a la clase que los originó.

0 evidencias
ClaseEvidenciasComandosInformeEstado
Métricas que sirven al SOC00PendienteEn curso

Decisiones e hipótesis descartadas

Todavía no agregaste una decisión transversal.

CONTROLES INTERMEDIOS · CANTIDAD VARIABLE

Corregí el rumbo antes del laboratorio final.

Cada caso cambia una variable: organización, fuente contradictoria, prioridad o evidencia nueva.

0/1 resueltos
CONTROL 1

Caso de transferencia

Otra área de Asteria presenta una señal equivalente a “Automatización segura y reversible”, con una fuente contradictoria.

Fuente ATrigger, enrichment, decision, action, owner y exitFuente BIncident, detection, hunt, playbook, metric y roadmap

PANEL DE DOMINIO

Tu avance separado por capacidad.

Completar contenido no equivale a dominarlo. Cada fila muestra nivel, evidencia acumulada y el tipo de capacidad observada.

5 CAPACIDADES INDEPENDIENTES
ComandosSintaxis, opciones y uso seguro0 evaluaciones con métricas
Inicial0%
AnálisisInterpretación y límites0 expedientes con autoridad
Inicial0%
InvestigaciónLaboratorios y pivotes0 laboratorios observados
Inicial0%
DocumentaciónFuente, tiempo y entregable0 informes acreditados
Inicial0%
AutonomíaDecisión sin ayudas evidentesSe demostrará en el integrador
Inicial0%

LABORATORIO FINAL INTEGRADOR

Liderazgo, automatización y mejora · expediente integrador

Asteria necesita convertir incidentes previos en hipótesis, detecciones, métricas y mejoras sostenibles. La evidencia es ambigua y no existe una única respuesta; las decisiones deben defenderse técnica y ejecutivamente. En este expediente vas a reunir lo aprendido en las 6 clases sin recibir una conclusión predeterminada.

PRO

Un caso largo para unir todo el módulo.

Incluye evidencia incompleta, actividad legítima, hipótesis alternativas y un entregable profesional corregible.

Desbloquear con Pro ↗

DIAGNÓSTICO FINAL · COMPARACIÓN

Resolvé una variante y compará cómo cambió tu criterio.

No repite las opciones en el mismo orden. Mide decisiones, errores que desaparecieron y áreas que todavía requieren práctica.

4 decisiones · 6 min
Disponible al acreditar todas las clases.

El diagnóstico inicial nunca bloquea; esta comparación aparece al final para medir transferencia real.

REFERENCIAS Y VIGENCIA

Contenido trazable, comprobado y preparado para revisión.

PRÓXIMA REVISIÓN · 24 de noviembre de 2026
NICE

NICE Framework Components v2.2.0 · tareas, conocimientos, habilidades y roles de trabajo

Ver marco oficial ↗
MITRE ATT&CK

MITRE ATT&CK v19.2 · técnicas, mitigaciones, Detection Strategies, Analytics y Data Components

Command and Scripting Interpreter · Impair Defenses · Detection Strategies and Analytics

Ver estrategias de detección ↗
RESPUESTA A INCIDENTES

NIST SP 800-61 Rev. 3 · Govern, Identify y Protect sostienen la preparación; Detect, Respond y Recover articulan la respuesta; la mejora es continua.

Ver publicación oficial ↗
VERSIÓN

3.2.0 · actualizada 24 de agosto de 2026

Shuffle SOAR · TheHive · MITRE ATT&CK Navigator · MISP · imágenes, logs y capturas sanitizadas de práctica

Última verificación práctica: 24 de agosto de 2026 · comandos, fixtures, timestamps y claves de evaluación
HERRAMIENTAS AFECTADAS

Shuffle SOAR

TheHive

MITRE ATT&CK Navigator

MISP

COMANDOS COMPROBADOS

✓ Shuffle SOAR: fixture-phish-001 → parse URL → enrich → require approval

✓ TheHive: PHISH-0007 · URL reportada · medium · analyst-a · 4h

✓ MITRE ATT&CK Navigator: T1059.001 · 2 · Sysmon Event ID 1 · Asteria lab

✓ MISP: Asteria phishing exercise · 2026-08-24 · medium · sharing-group-lab

FUENTES PROFESIONALES

NICE Framework Components v2.2.0

MITRE ATT&CK v19.2

NIST SP 800-61 Rev. 3

Shuffle SOAR · documentación oficial

TheHive · documentación oficial

MITRE ATT&CK Navigator · documentación oficial

CAMBIOS DE ESTA VERSIÓN

+ Catálogo SOC por nivel y herramienta

+ 12 clases canónicas sin duplicados

+ Laboratorios con evidencia sin etiquetas de solución

+ Traducción técnica y fuentes profesionales revisadas