SOC Analyst Path (HTB) I

🛡️ Progreso en el SOC Analyst Path (HTB) – Analizando la Cyber Kill Chain

Estoy siguiendo la ruta formativa SOC Analyst Path de Hack The Box Academy, diseñada para aprender las bases del trabajo en un Centro de Operaciones de Seguridad (SOC). Esta ruta combina teoría, análisis de incidentes, uso de SIEM, investigación con Splunk/Elastic, detección de ataques y técnicas de respuesta.

Uno de los primeros módulos es Incident Handling Process, donde se estudia cómo se organiza y gestiona un incidente dentro de una organización. Para entenderlo, se empieza revisando la Cyber Kill Chain, un modelo que explica cómo progresa un ataque desde el exterior hasta comprometer el entorno.

A continuación, mis avances en las dos primeras fases:

🔎 1. Recon (Reconnaissance)

El atacante selecciona el objetivo y recopila información relevante para identificar puntos débiles.

Reconocimiento pasivo

  • Redes sociales (LinkedIn, Instagram)
  • Web de la empresa
  • Partners y proveedores
  • Documentación pública
  • Ofertas de empleo que revelan tecnología interna

Reconocimiento activo

  • Escaneos
  • Enumeración de servicios
  • Fingerprinting de aplicaciones web

El objetivo es identificar la superficie de ataque y decidir el vector más eficaz para fases posteriores.

💉 2. Weaponize

En esta fase, el atacante construye el payload inicial que usará para entrar en la red.

  • Malware ligero y difícil de detectar
  • Evasión de antivirus y EDR
  • Persistencia tras reinicios
  • Capacidad de descargar más herramientas dentro del sistema

Es la etapa previa a que comience cualquier actividad visible para un SOC.

**¿Por qué es importante para un analista SOC?

Aunque estas fases anteriores no generan alertas directas en un SIEM, comprenderlas permite:

  • Anticipar la actividad del atacante.
  • Interpretar mejor artefactos e IOCs durante una investigación.
  • Entender el origen de ciertos comportamientos sospechosos.
  • Contextualizar adecuadamente un incidente real.

📌 Próximos pasos

Continuaré con las siguientes fases: Deliver, Exploit, Install, Command & Control (C2) y Action. Iré documentando el progreso conforme avance el módulo.

Puedes seguir todo el proceso en: