Sos analista Tier 1 en el SOC de Andes Financiera (empresa ficticia). Las alertas del SIEM van entrando a la cola a medida que avanza el reloj. Para cada una tenés que investigar con los logs crudos y las herramientas disponibles, extraer IOCs, mapear la técnica de MITRE ATT&CK y decidir veredicto, severidad y acciones de respuesta. Cada consulta consume minutos del turno, los SLA corren y lo que decidas cambia lo que pasa después: si no contenés a tiempo, el ataque avanza.
Contexto de la organización
Red interna 10.10.0.0/16. Dominio AD: ANDESFIN.
Salida a internet de la VPN/SASE corporativa: Ámsterdam (NL), rango 198.51.100.0/28.
Escáner de vulnerabilidades: VULNSCAN01 (10.10.5.20), escaneo mensual el primer viernes de cada mes.
Ventana de backup nocturno: 02:00–04:00 con la cuenta svc_backup hacia BKP01.
Todo cambio administrativo requiere ticket CHG aprobado.
Hoy es viernes 2 de octubre de 2026.
Cómo se evalúa
Veredicto: verdadero positivo, verdadero positivo benigno o falso positivo.
Severidad real: el SIEM a veces sobreestima o subestima.
MITRE ATT&CK, IOCs extraídos y acciones de respuesta. Las acciones dañinas para el negocio restan.
Investigar suma puntos, pero cuesta tiempo. Un SLA vencido resta.
SLA Crítica
15 min
SLA Alta
30 min
SLA Media
60 min
SLA Baja
240 min
Aviso: la empresa, los escenarios, IPs, dominios, usuarios y hashes son ficticios, creados con fines educativos. Las IPs pertenecen a rangos reservados para documentación (RFC 5737).
Seleccioná una alerta de la colaPriorizá: las alertas críticas tienen 15 minutos de SLA. Mirá la severidad del SIEM, pero no confíes ciegamente en ella.
Hacé clic sobre cualquier valor (IP, dominio, URL, hash, cuenta, archivo) para marcarlo como IOC o analizarlo en las herramientas de Threat Intel. Ojo: marcar activos propios o servicios legítimos resta.
Herramientas simuladas al estilo de los servicios de reputación que se usan en un SOC (análisis multimotor, reputación de IPs y WHOIS / DNS pasivo). Los datos son ficticios y coherentes con el turno.
Red y accesos
Red interna 10.10.0.0/16 · AD: ANDESFIN
Egress VPN/SASE: Ámsterdam (NL), 198.51.100.0/28
RDP-GW01 publicado a internet (sin MFA, pendiente de remediación)