Hub de Seguridad

Propósito y mapa del hub

El Hub de Seguridad es el paraguas de la seguridad operativa: SOC (triage y gestión de alertas e incidentes de seguridad), XDR (correlación entre dominios y threat hunting), gestión de vulnerabilidades, PAM (Privileged Access Management), administración de SecOps (SOAR: scoring, aprobaciones, rollback) y reportes de seguridad. Los tickets del área (familia SOC-*) son de máxima confidencialidad: algunos tipos (por ejemplo, SOC-INCIDENT) solo los ven los analistas SOC y el CISO del tenant.

Esta página cubre la landing, las consolas operativas (SOC L1, XDR), el Vulnerability Cockpit, las cinco páginas de PAM y la Consola PAM, SecOps Admin, el Security Report Center y el Agent Monitoring. GRC/ICC y las vistas de los directores SOC/XDR se mencionan, pero se describen en sus propias páginas (GRC, riesgo, cumplimiento y legal, Cockpits y vistas de dirección, Customer Service, Enterprise Service e ICC).

Landing del Security Hub

Para qué sirve. Es el punto de entrada a la seguridad: reúne los recuadros hacia SOC, XDR, vulnerabilidades, PAM, SecOps Admin, reportes y las áreas relacionadas (GRC, ICC).

Cuándo usarla. Al inicio de la sesión de seguridad, para elegir el área en la que vas a trabajar.

Cómo abrirla. Desde la Home de Core (recuadro Security Hub) o desde el Security Hub de otro contexto.

Qué muestra. Los recuadros llevan a: SOC L1, XDR, Vulnerabilidades, PAM, SecOps Admin, IT Security Report Center, KB del dominio SOC, GRC, ICC, Operations Cockpit con scope de seguridad, Agent Control Tower con scope security, CMDB con enfoque en seguridad, ITOM con enfoque en seguridad y las vistas de los directores SOC/XDR/GRC/ICC.

Cómo se usa. Haces clic en el recuadro del área que quieres; los recuadros visibles dependen del rol (perfiles SOC, XDR, SECHUB, etc.).

Qué pasa después. Entras a la página o consola elegida con el contexto propagado.

Notas. La visibilidad es especialmente restringida: mucho contenido requiere roles SOC/CISO.

SOC L1, triage de alertas de seguridad

Para qué sirve. Es la consola operativa del SOC: reúne las alertas de los SIEM (vía webhook) y gobierna su triage L1→L2→L3, hasta los incidentes confirmados. Usa el mismo motor de layout que la consola de TI, con dominio SOC.

Cuándo usarla. Es el puesto del analista SOC para el triage y la gestión de alertas e incidentes.

Cómo abrirla. Desde la landing del Security Hub, recuadro SOC L1.

Qué muestra. El layout de tres paneles (cola · detalle · herramientas) con actualización automática y filtros. La franja de KPI del L1: Alertas activas, Triaged en la última hora, FP rate (falsos positivos), SLA de triage, Escalaciones a L2. Las acciones rápidas del L1: Asignarme, Escalate L2, ✓ True Positive, False Positive.

Al pasar a los tiers superiores (L2/L3, análisis/IR) cambian los KPI y las acciones: KPI Open cases, Breaches, Hunts activos, PIR pending, IOC ingested; acciones Take over, Escalate L3, Isolate host, Block IOC, IR Playbook. El dashboard de KPI del SOC se puede abrir en un modal («SOC L1 Dashboard»).

Cómo se usa. Haces el triage de las alertas (SOC-ALERT) y las clasificas como True/False Positive; una alerta confirmada se promueve a SOC-INCIDENT (máxima confidencialidad, PIR obligatorio); gestionas los reportes de phishing (SOC-PHISH, que también se pueden abrir desde el portal de usuario) y las alertas de malware (SOC-MALWARE). Las acciones de contención (Isolate host, Block IOC) activan las remediaciones SOAR.

Qué pasa después. «True Positive» inicia la escalación o el incident; «Isolate/Block» ejecutan acciones de respuesta (sujetas a las barreras SOAR); cada acción queda registrada y notificada.

Notas. Las acciones de remediación más sensibles (por ejemplo, execute_script) están protegidas por varias barreras (ve SecOps Admin). La visibilidad de los incidentes está restringida a SOC/CISO.

XDR Ops

Para qué sirve. El XDR (eXtended Detection & Response) ofrece la correlación de amenazas entre dominios y las herramientas de búsqueda proactiva, threat intelligence e intercambio con los proveedores.

Cuándo usarla. Para el análisis correlacionado de señales de varias fuentes, las campañas de hunting, la gestión de IOC y los briefs ejecutivos de amenazas.

Cómo abrirla. Desde la landing del Security Hub, recuadro XDR.

Qué muestra. Una consola organizada en subvistas (vista inicial: Correlation), cada una con KPI, tablas y pestañas:

Subvista	Contenido
Correlation	Correlación de señales entre dominios
Threat Intel	IOC e inteligencia (SOC-THREAT-INTEL: TLP, confidence, CVE, threat actor, vencimiento)
Unified Timeline	Línea de tiempo unificada de los eventos
Executive Brief	Resumen ejecutivo de la amenaza
Escalation	Gestión de escalaciones
Lessons Learned	Lecciones aprendidas después del evento
Hunting Queries	Consultas de threat hunting (SOC-THREAT-HUNT: hipótesis, técnica)
Vendor Sharing	Intercambio con proveedores/socios
Knowledge Base	Base de conocimiento de XDR
Threat Landscape	Panorama de amenazas
Reports & Analytics	Reportes y analytics (módulo de reportes compartido, con programación)

Cómo se usa. Navegas entre las subvistas; correlacionas señales, gestionas los IOC y las campañas de hunting, y generas briefs y reportes; aquí también se tratan los hallazgos de Attack Surface Management (SOC-ASM) y los Security Cases (SOC-CASE, investigaciones que agrupan varias alertas/incidents/IOC mediante ticket-link).

Qué pasa después. Las correlaciones pueden generar incidentes o casos; los IOC confirmados alimentan los sistemas defensivos; los reportes se pueden programar.

Notas. La vista Reports usa el módulo de reportes compartido de la plataforma.

Vulnerability Cockpit

Para qué sirve. Gestiona las vulnerabilidades (SOC-VULN) que detectan los escáneres (Tenable, Qualys, Nessus): desde el descubrimiento hasta la remediación.

Cuándo usarla. Para priorizar y dar seguimiento a la corrección de vulnerabilidades.

Cómo abrirla. Desde la landing del Security Hub, recuadro Vulnerabilidades.

Qué muestra. El cockpit de vulnerabilidades con CVSS score, host/CI afectado, fuente y estado de la remediación; cuando no hay hallazgos abiertos muestra el estado «Sin hallazgos abiertos».

Cómo se usa. Revisas las vulnerabilidades por severidad, planeas la remediación y la vinculas con changes y activos.

Qué pasa después. La remediación actualiza el estado; las vulnerabilidades críticas pueden generar incidentes.

Notas. Se alimenta de los escáneres mediante ingesta.

PAM Hub

Para qué sirve. Es el punto de entrada a Privileged Access Management: gobierno de accesos, cuentas, credenciales, sesiones y cumplimiento privilegiados.

Cuándo usarla. Para gestionar y vigilar los accesos privilegiados a los sistemas sensibles.

Cómo abrirla. Desde la landing del Security Hub, recuadro PAM.

Qué muestra. Los recuadros hacia las páginas de PAM: Accesos, Cuentas, Vault, Sesiones, Cumplimiento.

Cómo se usa. Eliges el área de PAM; las funciones se describen en las fichas siguientes.

Qué pasa después. Las operaciones de PAM quedan registradas completas en la auditoría.

Notas. PAM está reservado a los roles de seguridad (SOC/CISO/PAM admin).

PAM Accesos JIT/JEA

Para qué sirve. Gestiona las solicitudes de acceso privilegiado con el modelo JIT/JEA (Just-In-Time / Just-Enough-Access): concesión temporal y mínima.

Cuándo usarla. Cuando un usuario necesita un acceso privilegiado temporal a un sistema.

Cómo abrirla. Desde el PAM Hub, recuadro Accesos.

Qué muestra y cómo se usa. Las solicitudes de acceso (SOC-ACCESS-REQ) con aprobación (CISO/SOC) y vencimiento; concedes el acceso por la ventana necesaria y lo revocas al vencer.

Qué pasa después. El acceso concedido es temporal y se revoca automáticamente; cada concesión queda registrada.

Notas. El modelo JIT/JEA reduce al mínimo los privilegios permanentes.

PAM Cuentas privilegiadas

Para qué sirve. Gestiona el inventario de cuentas privilegiadas (administrativas, de servicio) y su ciclo de vida.

Cuándo usarla. Para registrar, rotar y desactivar las cuentas privilegiadas.

Cómo abrirla. Desde el PAM Hub, recuadro Cuentas.

Qué muestra y cómo se usa. La lista de cuentas privilegiadas con propietario, sistema y estado; las acciones de rotación/desactivación.

Qué pasa después. Los cambios quedan registrados; las cuentas no conformes aparecen en el Cumplimiento de PAM (PAM Compliance).

Notas. Vinculado al Vault (PAM Vault de credenciales).

PAM Vault de credenciales

Para qué sirve. Es la caja fuerte de las credenciales privilegiadas: resguardo seguro y distribución controlada de los secretos.

Cuándo usarla. Para resguardar y recuperar de forma segura las credenciales privilegiadas.

Cómo abrirla. Desde el PAM Hub, recuadro Vault.

Qué muestra y cómo se usa. Los elementos resguardados en el vault con acceso controlado; la recuperación requiere autorización y queda registrada.

Qué pasa después. Cada acceso al secreto queda registrado en la auditoría.

Notas. Las credenciales nunca se muestran en texto plano en la interfaz más allá de lo necesario; capturar los secretos le corresponde al usuario.

PAM Sesiones privilegiadas

Para qué sirve. Gestiona y graba las sesiones privilegiadas hacia los sistemas.

Cuándo usarla. Para iniciar o vigilar una sesión privilegiada y consultar su grabación.

Cómo abrirla. Desde el PAM Hub, recuadro Sesiones.

Qué muestra y cómo se usa. Las sesiones activas e históricas con usuario, sistema, duración y grabación; desde aquí puedes iniciar una sesión (también mediante la Consola PAM, Consola PAM (acceso zero-knowledge)).

Qué pasa después. Las sesiones se graban para auditoría y revisión.

Notas. Soporta el modelo zero-knowledge (Consola PAM (acceso zero-knowledge)).

PAM Compliance

Para qué sirve. Verifica el cumplimiento de los accesos y las cuentas privilegiadas respecto a las políticas.

Cuándo usarla. Para las revisiones periódicas de cumplimiento de PAM.

Cómo abrirla. Desde el PAM Hub, recuadro Cumplimiento.

Qué muestra y cómo se usa. El estado de cumplimiento (accesos excesivos, cuentas huérfanas, rotaciones no hechas) y las acciones correctivas.

Qué pasa después. Los incumplimientos alimentan los hallazgos y las acciones de remediación.

Notas. Vinculada a GRC/auditoría.

Consola PAM (acceso zero-knowledge)

Para qué sirve. Abre una consola privilegiada zero-knowledge hacia un CI o sistema, sin mostrar las credenciales al operador.

Cuándo usarla. Cuando necesitas operar sobre un sistema mientras trabajas un ticket (por ejemplo, un incident en un host).

Cómo abrirla. Desde el botón Console PAM del Editor de tickets (Editor de tickets) cuando el ticket se refiere a un CI, o desde la página Sesiones de PAM.

Qué muestra y cómo se usa. La consola de sesión hacia el sistema, mediada por PAM: las credenciales se inyectan desde el vault sin revelarse.

Qué pasa después. La sesión se graba (PAM Sesiones privilegiadas) y queda registrada en la auditoría.

Notas. Modelo zero-knowledge: el operador trabaja sin conocer el secreto.

SecOps Admin

Para qué sirve. Es la configuración de la automatización de seguridad (SOAR) y de las políticas de respuesta.

Cuándo usarla. Para configurar el scoring de riesgo y gestionar las aprobaciones de las acciones de remediación y su reversibilidad.

Cómo abrirla. Desde la landing del Security Hub, recuadro SecOps Admin.

Qué muestra. Tres pestañas:

1. Risk Scoring — Weights Configuration — los pesos y criterios de la puntuación de riesgo.
2. Approvals Queue — la cola de aprobaciones de las acciones de remediación.
3. Rollback Stack — la pila de acciones reversibles (para deshacer una remediación).

Cómo se usa. Defines los pesos del scoring; apruebas o rechazas las acciones en cola; gestionas el rollback de las acciones ejecutadas.

Qué pasa después. Los playbooks SOAR ejecutan las acciones aprobadas; el rollback deshace los efectos donde es posible.

Notas. La configuración de las herramientas de seguridad (Azure Tenant/Client ID/Secret, Type, Endpoint URL) se movió al Integration Center (Integration Hub e importación). Las acciones sensibles (por ejemplo, execute_script) están protegidas por cuatro barreras y por un manejo riguroso de los secretos.

IT Security Report Center

Para qué sirve. Son los reportes de seguridad: postura, vulnerabilidades por severidad, incidentes, cumplimiento.

Cuándo usarla. Para generar y consultar los reportes de seguridad.

Cómo abrirla. Desde la landing del Security Hub, recuadro IT Security Report Center.

Qué muestra y cómo se usa. El catálogo de reportes de seguridad con scoping por dominio SOC, vista previa, programación y exportación.

Qué pasa después. Los reportes se pueden programar y exportar.

Notas. Scoping restringido al dominio de seguridad.

Agent Monitoring

Para qué sirve. Monitorea los agentes/endpoints de seguridad instalados en los sistemas.

Cuándo usarla. Para verificar la cobertura y el estado de los agentes (EDR/monitoreo).

Cómo abrirla. Desde la landing del Security Hub / área SecOps.

Qué muestra y cómo se usa. El estado de los agentes por host (versión, conectividad, salud); desde aquí identificas los endpoints sin cobertura o con problemas.

Qué pasa después. Las anomalías pueden generar alertas o tickets.

Notas. Complementa al Attack Surface Management (XDR Ops).

Páginas relacionadas con el hub (descritas en otra parte)

Desde la landing de Seguridad también llegas a páginas que se tratan en sus propias páginas: GRC (GRC, riesgo, cumplimiento y legal), ICC (Registro de proyectos / clientes), CMDB con enfoque en seguridad (Asset Management y CMDB), ITOM con enfoque en seguridad (NOC, Observability e ITOM), Agent Control Tower (Hub de IA y agentes), Operations Cockpit y las vistas Service Director SOC/XDR/GRC/ICC (Cockpits y vistas de dirección).