¿Qué automatizarías primero en un SOC y qué te negarías a automatizar?

Automatiza el enriquecimiento antes que las decisiones. El primer playbook de más valor recoge contexto de cada alerta (responsable y criticidad del activo, datos del usuario, consultas de reputación, alertas relacionadas, tickets de cambio abiertos) para que los analistas arranquen con la foto completa. Automatiza la contención reversible, como forzar una nueva autenticación o bloquear un hash. Reserva la aprobación humana para las acciones destructivas o de gran radio de impacto, como deshabilitar cuentas o aislar servidores de producción.

El primer playbook siempre es el enriquecimiento, porque es seguro, aplica a cualquier tipo de alerta y elimina los diez minutos de abrir pestañas que dominan el triaje. Responsable y criticidad del activo, departamento y jefe del usuario, reputación de cada observable, alertas relacionadas con las mismas entidades en la última semana y cualquier ticket de cambio abierto, todo adjunto al caso antes de que lo lea una persona. Después automatizo respuestas reversibles: forzar nueva autenticación, revocar sesiones, bloquear un hash en la herramienta de endpoint, llevar un dominio a un sinkhole. Lo que no automatizo del todo es cualquier cosa con gran radio de impacto o difícil de revertir. Deshabilitar cuentas automáticamente con una regla que puede dar falsos positivos es como te cargas un departamento entero a las nueve de un lunes. Eso pasa a ser una aprobación de un clic con la evidencia adjunta. Y monitorizo las propias automatizaciones, porque los playbooks se pudren en silencio cuando cambia una versión de API, así que quiero un latido y una alerta de fallo en vez de descubrir en mitad de un incidente que el enriquecimiento dejó de funcionar hace un mes.