Incident Analyst Cybersecurity Junior

Location: méxico

Work Location: onsite

• Monitorear alertas y eventos de seguridad provenientes de SIEM, EDR, Darktrace y otras fuentes dentro del alcance del servicio.
• Revisar eventos de seguridad y determinar si corresponden a actividad legítima, ruido o una potencial amenaza.
• Realizar validación inicial de alertas y eliminación de falsos positivos.
• Identificar patrones básicos de comportamiento sospechoso.
• Dar seguimiento a alertas de alta y crítica prioridad durante actividades de On-Call.

• Ejecutar el análisis inicial de las alertas recibidas.
• Clasificar eventos e incidentes de acuerdo con los criterios establecidos.
• Determinar la severidad: Critical, High, Medium o Low.
• Recopilar y validar información básica relacionada con:
• Usuario.
• Host/Endpoint.
• Dirección IP.
• Timestamp.
• Aplicación o servicio involucrado.
• Eventos relacionados.
• Contexto de la alerta.
• Correlacionar información básica entre diferentes fuentes de seguridad.

• Realizar investigación inicial y análisis detallado de incidentes de baja y media complejidad.
• Correlacionar eventos provenientes de diferentes fuentes para determinar la naturaleza del incidente.
• Analizar indicadores básicos de compromiso (IoC).
• Identificar posibles usuarios, dispositivos, aplicaciones o recursos afectados.
• Determinar, cuando sea posible, el alcance inicial y potencial vector de ataque.
• Documentar hallazgos, evidencias y acciones realizadas.
• Identificar aquellos casos que requieren análisis avanzado y escalarlos al L3 / Threat Hunter.

• Crear tickets de incidentes y solicitudes de seguridad.
• Mantener la documentación mínima obligatoria de cada caso.
• Actualizar tickets con avances, evidencias, análisis y acciones realizadas.
• Mantener trazabilidad completa desde la detección hasta el cierre.
• Atender solicitudes de baja complejidad, tales como validaciones, consultas y verificaciones relacionadas con seguridad.
• Gestionar solicitudes de complejidad media/alta de acuerdo con los procedimientos definidos.

• Coordinar acciones de respuesta con equipos de:

• Ejecutar actividades de contención guiadas y previamente autorizadas.
• Dar seguimiento a acciones de erradicación y recuperación.
• Coordinar la validación posterior a las acciones de remediación.
• Participar en la gestión de Major Incidents generados por el SOC/GCC.
• Escalar oportunamente los incidentes que requieran capacidades avanzadas de investigación o respuesta.

• Identificar cuando un incidente pueda estar relacionado con una vulnerabilidad explotable.
• Registrar y relacionar el incidente con la vulnerabilidad correspondiente.
• Dar seguimiento a las actividades de remediación.
• Coordinar la validación posterior a la remediación.
• Apoyar en la verificación de que la condición que originó el incidente haya sido corregida.

• Participar en el esquema de guardias/on-call.
• Realizar reconocimiento y triage inicial de alertas fuera de horario.
• Priorizar principalmente eventos High/Critical.
• Ejecutar procedimientos de escalamiento establecidos.
• Mantener comunicación y documentación adecuada durante la atención de incidentes.

• Mantener una atención oportuna de las alertas asignadas de acuerdo con los SLA establecidos.
• Garantizar una correcta clasificación y priorización de eventos e incidentes.
• Reducir falsos positivos mediante una adecuada validación inicial.
• Mantener documentación completa, precisa y actualizada de los incidentes.
• Asegurar el seguimiento de los casos desde la detección hasta su cierre.
• Escalar oportunamente incidentes que excedan el nivel de análisis o autoridad del rol.
• Coordinar efectivamente con equipos técnicos durante las actividades de respuesta.
• Mantener la confidencialidad e integridad de la información y evidencias relacionadas con incidentes.
• Cumplir los procedimientos, playbooks y estándares establecidos para Incident Response.
• Participar en actividades de mejora continua relacionadas con detección, triage y respuesta.
• Mantener actualizado su conocimiento sobre nuevas amenazas, técnicas de ataque y mecanismos de detección.

• Fundamentos de Security Operations Center (SOC).
• Conceptos de Incident Response.
• Alert triage y event analysis.
• Clasificación y priorización de incidentes.
• Indicadores de compromiso (IoC).
• Conceptos básicos de MITRE ATT&CK.
• Análisis de logs y eventos de seguridad.
• Conocimiento de técnicas comunes de ataque y compromiso.

• Conceptos y operación básica de plataformas SIEM.
• Análisis de eventos provenientes de EDR.
• Correlación básica de eventos.
• Identificación de falsos positivos.
• Investigación de alertas y generación de evidencias.
• Conocimiento de herramientas de detección y respuesta.

• Conocimiento operativo de Darktrace.
• Análisis y triage de alertas generadas por Darktrace.
• Interpretación básica de anomalías de comportamiento de red.
• Identificación de dispositivos, usuarios y conexiones involucradas.
• Investigación inicial de comunicaciones sospechosas.
• Comprensión básica de Network Detection and Response (NDR).

• Fundamentos de Microsoft Azure.
• Conceptos de recursos, subscriptions, tenants y servicios cloud.
• Conocimientos básicos de Azure networking.
• Azure identities y conceptos de Entra ID.
• Análisis básico de logs y eventos de Azure.
• Comprensión de actividades sospechosas en ambientes cloud.
• Conceptos básicos de seguridad en workloads de Azure.

• Fundamentos de redes TCP/IP.
• Modelo OSI.
• TCP, UDP, DNS, HTTP/HTTPS, SMTP, SSH.
• Direccionamiento IP, subnetting y puertos.
• Análisis básico de tráfico de red.
• Identificación de conexiones sospechosas.
• Conceptos de firewall, proxy, VPN y NAT.
• Capacidad para interpretar información básica de PCAPs y/o herramientas de análisis de red.
• Identificación de patrones básicos de Command & Control (C2), scanning y comunicación anómala.

• Fundamentos de Windows y Linux.
• Procesos, servicios y conexiones de red.
• Windows Event Logs.
• Conceptos básicos de PowerShell.
• Conceptos básicos de malware y comportamiento de procesos.
• Análisis básico de actividad sospechosa en endpoints.

• Gestión de tickets y evidencias.
• Documentación de incidentes.
• Escalamiento basado en severidad.
• Seguimiento de SLA.
• Conceptos de Major Incident Management.
• Procesos de Incident Response.

• Capacidad analítica y pensamiento crítico.
• Atención al detalle.
• Capacidad para trabajar bajo presión.
• Comunicación efectiva con equipos técnicos.
• Capacidad para seguir procedimientos y playbooks.
• Capacidad para identificar cuándo un incidente debe ser escalado.
• Orientación a la documentación y trazabilidad.
• Disponibilidad para participar en esquema On-Call.
• Inglés técnico.
• Interés por mantenerse actualizado en amenazas y técnicas de ataque.

• CompTIA Security+
• Microsoft SC-200
• Microsoft AZ-900 / AZ-500
• Splunk Core User o equivalente SIEM
• Certificaciones/cursos de SOC Analyst o Incident Response
• Certificaciones relacionadas con Network Security