Especialista en Respuesta a Incidentes de Seguridad de la Información (CSIRT)

Descripción del Puesto

Buscamos una Especialista en CSIRT con un perfil marcadamente práctico (hands-on), responsable de actuar

directamente en el análisis de alertas, la caza de amenazas (threat hunting) continua, la investigación técnica y la identificación

práctica de brechas de seguridad, transformando hallazgos operativos en mejoras concretas de

detección, respuesta y protección.

El enfoque del puesto es operar, investigar, cazar amenazas y ajustar el entorno, utilizando herramientas

de seguridad en el día a día, con una visión crítica sobre lo que no se está detectando, dónde

fallan los controles y cómo evolucionar la defensa a partir de la operación real.

Principales Responsabilidades

Análisis Práctico (Hands-on) de Alertas e Incidentes

• Analizar alertas de SIEM, EDR/XDR, NDR, Cloud e Identity en profundidad, yendo más allá del

triaje básico.

• Investigar comportamientos sospechosos directamente en logs, endpoints, identidad y red.

• Realizar pivoteo técnico entre múltiples fuentes de datos para confirmar o descartar

actividad maliciosa.

• Actuar en la investigación de incidentes de baja, media y alta complejidad, con enfoque técnico.

Caza de Amenazas (Threat Hunting) Continua

• Ejecutar threat hunting práctico (hands-on), basado en:

o Hipótesis de ataque

o TTPs de MITRE ATT&CK

o Análisis de alertas recurrentes y ruido operativo

• Identificar:

o Falsos negativos

o Detecciones inexistentes o ineficaces

o Abusos de identidad, credenciales y permisos

• Utilizar consultas (queries), scripts y herramientas para buscar actividades anómalas que no generaron

alertas.

Identificación Práctica de Brechas

• Identificar brechas reales de seguridad a partir de la operación diaria, tales como:

o Falta de visibilidad

o Logs ausentes o mal configurados

o Reglas de detección débiles o genéricas

o Controles que no funcionan en la práctica

• Documentar brechas con evidencia técnica, ejemplos reales e impacto potencial.

• Priorizar brechas basándose en la explotabilidad y el riesgo técnico.

Evolución Técnica de Detección y Respuesta

• Crear, ajustar y optimizar:

o Reglas de detección

o Consultas (queries) de SIEM

o Alertas de EDR/XDR

o Lógicas de correlación

• Transformar hallazgos de hunting e incidentes en:

o Nuevas detecciones

o Ajustes de playbooks

o Mejora de los tiempos de respuesta

• Probar y validar detecciones contra escenarios de ataque reales.

CSIRT y Operación Avanzada

• Actuar como referencia técnica en la operación del CSIRT.

• Apoyar ejercicios prácticos (purple team, simulaciones técnicas).

• Producir informes técnicos objetivos, centrados en hallazgos, brechas y acciones correctivas.

Trabajar en conjunto con los equipos de SOC, Cloud, Infra e IAM para la corrección técnica de los problemas

identificados.

Requisitos Técnicos Obligatorios

• Experiencia práctica en CSIRT, SOC Nivel 2/3 o Threat Hunting.

• Fuerte actuación práctica (hands-on) en investigación técnica y análisis de alertas.

Dominio de:

o SIEM (Splunk, Sentinel, QRadar, Elastic)

o EDR/XDR (Microsoft Defender, CrowdStrike, SentinelOne)

o MITRE ATT&CK aplicado a la práctica

• Capacidad para escribir y ajustar consultas complejas (KQL, SPL, Lucene, etc.).

• Experiencia con análisis de:

o Logs de autenticación e identidad

o Procesos y artefactos de endpoint

o Actividad sospechosa en la nube

• Conocimiento sólido de NIST 800-61 y flujo operativo de CSIRT.

Requisitos Deseables

• Experiencia con:

o Threat Hunting estructurado

o Purple Team

o DFIR básico

• Conocimiento en:

o Cloud Security (Azure, AWS o GCP)

o IAM y Detección de Amenazas de Identidad

• Automatización y scripting (Python, PowerShell, KQL avanzado).

• Certificaciones como:

o GCIH, GCED, GCIA

o Certificaciones de seguridad de Microsoft o Cloud

Competencias Conductuales

• Perfil técnico, curioso e investigativo

• Capacidad de llegar "hasta el final" en el análisis

• Atención al detalle y pensamiento crítico

• Comunicación objetiva, basada en evidencias

• Autonomía para investigar y proponer mejoras prácticas

• Colaboración con equipos técnicos

Diferenciales del Puesto

• Rol 100% técnico y operativo, con impacto directo en la seguridad

• Autonomía para cazar amenazas y mejorar la detección

• Exposición a entornos complejos y escenarios de ataque reales

• Influencia directa en la evolución práctica del CSIRT