Hub de Seguridad

Objetivo y mapa del hub

El Hub de Seguridad es el paraguas de la seguridad operativa: SOC (triaje y gestión de alertas e incidentes de seguridad), XDR (correlación entre dominios y threat hunting), gestión de vulnerabilidades, PAM (Privileged Access Management), administración SecOps (SOAR: puntuación, aprobaciones, rollback) e informes de seguridad. Los tickets del área (familia SOC-*) son de máxima confidencialidad: algunos tipos (p. ej. SOC-INCIDENT) solo los ven los analistas del SOC y el CISO del tenant.

Esta página trata la página de inicio, las consolas operativas (SOC L1, XDR), el Vulnerability Cockpit, las cinco páginas PAM y la Consola PAM, SecOps Admin, el Security Report Center y el Agent Monitoring. GRC/ICC y las vistas de los directores SOC/XDR se mencionan, pero se describen en sus propias páginas (GRC, riesgo, cumplimiento y legal, Cockpits y vistas de dirección, Customer Service, Enterprise Service e ICC).

Página de inicio del Security Hub

Para qué sirve. Es el punto de entrada a la seguridad: reúne los recuadros hacia SOC, XDR, vulnerabilidades, PAM, SecOps Admin, informes y las áreas relacionadas (GRC, ICC).

Cuándo usarla. Al empezar la sesión de seguridad, para elegir el área en la que trabajar.

Cómo abrirla. Desde la Home de Core (recuadro Security Hub) o desde el Security Hub de otro contexto.

Qué muestra. Los recuadros enlazan con: SOC L1, XDR, Vulnerabilidades, PAM, SecOps Admin, IT Security Report Center, KB del dominio SOC, GRC, ICC, Operations Cockpit con ámbito de seguridad, Agent Control Tower con ámbito security, CMDB con enfoque de seguridad, ITOM con enfoque de seguridad y las vistas de los directores SOC/XDR/GRC/ICC.

Cómo se usa. Haz clic en el recuadro del área que quieras; los recuadros visibles dependen del rol (perfiles SOC, XDR, SECHUB, etc.).

Qué pasa después. Accedes a la página o consola elegida con el contexto propagado.

Notas. La visibilidad es especialmente restringida: muchos contenidos requieren roles SOC/CISO.

SOC L1, triaje de alertas de seguridad

Para qué sirve. Es la consola operativa del SOC: recoge las alertas de los SIEM (por webhook) y gobierna su triaje L1→L2→L3, hasta los incidentes confirmados. Usa el mismo motor de diseño que la consola IT, con dominio SOC.

Cuándo usarla. Es el puesto del analista SOC para el triaje y la gestión de alertas e incidentes.

Cómo abrirla. Desde la página de inicio del Security Hub, recuadro SOC L1.

Qué muestra. El diseño de tres paneles (cola · detalle · herramientas) con actualización automática y filtros. La franja de KPI del L1: Alertas activas, Triaged en la última hora, FP rate (falsos positivos), SLA de triaje, Escaladas a L2. Las acciones rápidas del L1: Asignarme, Escalate L2, ✓ True Positive, False Positive.

Al pasar a los niveles superiores (L2/L3, análisis/IR) cambian los KPI y las acciones: KPI Open cases, Breaches, Hunts activos, PIR pending, IOC ingested; acciones Take over, Escalate L3, Isolate host, Block IOC, IR Playbook. El cuadro de mando de KPI del SOC se puede abrir en una ventana modal («SOC L1 Dashboard»).

Cómo se usa. Haces el triaje de las alertas (SOC-ALERT) y las clasificas como True/False Positive; una alerta confirmada se promueve a SOC-INCIDENT (máxima confidencialidad, PIR obligatorio); gestionas los informes de phishing (SOC-PHISH, que también se pueden abrir desde el portal de usuario) y las alertas de malware (SOC-MALWARE). Las acciones de contención (Isolate host, Block IOC) activan las remediaciones SOAR.

Qué pasa después. «True Positive» inicia la escalada o el incident; «Isolate/Block» ejecutan acciones de respuesta (sujetas a las barreras SOAR); cada acción queda registrada y se notifica.

Notas. Las acciones de remediación más sensibles (p. ej. execute_script) están protegidas por varias barreras (consulta SecOps Admin). La visibilidad de los incidentes está restringida a SOC/CISO.

XDR Ops

Para qué sirve. El XDR (eXtended Detection & Response) proporciona la correlación entre dominios de las amenazas y las herramientas de búsqueda proactiva, threat intelligence y compartición con los proveedores.

Cuándo usarla. Para el análisis correlacionado de señales de varias fuentes, las campañas de hunting, la gestión de los IOC y los informes ejecutivos de amenazas.

Cómo abrirla. Desde la página de inicio del Security Hub, recuadro XDR.

Qué muestra. Una consola organizada en subvistas (vista inicial: Correlation), cada una con KPI, tablas y pestañas:

Subvista	Contenido
Correlation	Correlación de señales entre dominios
Threat Intel	IOC e inteligencia (SOC-THREAT-INTEL: TLP, confianza, CVE, threat actor, caducidad)
Unified Timeline	Cronología unificada de eventos
Executive Brief	Resumen ejecutivo de la amenaza
Escalation	Gestión de las escaladas
Lessons Learned	Lecciones aprendidas tras el evento
Hunting Queries	Consultas de threat hunting (SOC-THREAT-HUNT: hipótesis, técnica)
Vendor Sharing	Compartición con proveedores/partners
Knowledge Base	Base de conocimiento XDR
Threat Landscape	Panorama de amenazas
Reports & Analytics	Informes y analítica (módulo de informes compartido, con planificación)

Cómo se usa. Navegas por las subvistas; correlacionas señales, gestionas los IOC y las campañas de hunting, y produces resúmenes e informes; aquí se tratan los hallazgos de Attack Surface Management (SOC-ASM) y los Security Cases (SOC-CASE, investigaciones que agrupan varias alertas/incidents/IOC mediante vínculos entre tickets).

Qué pasa después. Las correlaciones pueden generar incidentes o casos; los IOC confirmados alimentan los sistemas defensivos; los informes se pueden programar.

Notas. La vista Reports usa el módulo de informes compartido de la plataforma.

Vulnerability Cockpit

Para qué sirve. Gestiona las vulnerabilidades (SOC-VULN) detectadas por los escáneres (Tenable, Qualys, Nessus): desde el descubrimiento hasta la remediación.

Cuándo usarla. Para priorizar y seguir la corrección de las vulnerabilidades.

Cómo abrirla. Desde la página de inicio del Security Hub, recuadro Vulnerabilidades.

Qué muestra. El cockpit de vulnerabilidades con CVSS score, host/CI afectado, origen y estado de la remediación; cuando no hay hallazgos abiertos muestra el estado «Ningún hallazgo abierto».

Cómo se usa. Examinas las vulnerabilidades por severidad, planificas la remediación y la vinculas a changes y activos.

Qué pasa después. La remediación actualiza el estado; las vulnerabilidades críticas pueden generar incidentes.

Notas. Se alimenta de los escáneres mediante ingesta.

PAM Hub

Para qué sirve. Es el punto de entrada al Privileged Access Management: gobierno de accesos, cuentas, credenciales, sesiones y cumplimiento privilegiados.

Cuándo usarla. Para gestionar y vigilar los accesos privilegiados a los sistemas sensibles.

Cómo abrirla. Desde la página de inicio del Security Hub, recuadro PAM.

Qué muestra. Los recuadros hacia las páginas PAM: Accesos, Cuentas, Vault, Sesiones, Cumplimiento.

Cómo se usa. Eliges el área PAM; las funciones se describen en las fichas siguientes.

Qué pasa después. Las operaciones PAM quedan registradas íntegramente en la auditoría.

Notas. PAM está reservado a los roles de seguridad (SOC/CISO/PAM admin).

PAM Accesos JIT/JEA

Para qué sirve. Gestiona las solicitudes de acceso privilegiado con el modelo JIT/JEA (Just-In-Time / Just-Enough-Access): concesión temporal y mínima.

Cuándo usarla. Cuando un usuario necesita un acceso privilegiado temporal a un sistema.

Cómo abrirla. Desde el PAM Hub, recuadro Accesos.

Qué muestra y cómo se usa. Las solicitudes de acceso (SOC-ACCESS-REQ) con aprobación (CISO/SOC) y caducidad; concedes el acceso durante la ventana necesaria y lo revocas al caducar.

Qué pasa después. El acceso concedido es temporal y se revoca automáticamente; cada concesión queda registrada.

Notas. El modelo JIT/JEA minimiza los privilegios permanentes.

PAM Cuentas privilegiadas

Para qué sirve. Gestiona el inventario de cuentas privilegiadas (administrativas, de servicio) y su ciclo de vida.

Cuándo usarla. Para inventariar, rotar y desactivar las cuentas privilegiadas.

Cómo abrirla. Desde el PAM Hub, recuadro Cuentas.

Qué muestra y cómo se usa. La lista de cuentas privilegiadas con propietario, sistema y estado; las acciones de rotación/desactivación.

Qué pasa después. Los cambios quedan registrados; las cuentas no conformes aparecen en el Cumplimiento PAM (PAM Compliance).

Notas. Vinculado al Vault (PAM Vault de credenciales).

PAM Vault de credenciales

Para qué sirve. Es la caja fuerte de credenciales privilegiadas: custodia segura y distribución controlada de los secretos.

Cuándo usarla. Para custodiar y recuperar de forma segura las credenciales privilegiadas.

Cómo abrirla. Desde el PAM Hub, recuadro Vault.

Qué muestra y cómo se usa. Los elementos custodiados en el vault con acceso controlado; la recuperación está sujeta a autorización y registro.

Qué pasa después. Cada acceso al secreto queda registrado en la auditoría.

Notas. Las credenciales nunca se muestran en claro en la interfaz más allá de lo necesario; la introducción de secretos corresponde al usuario.

PAM Sesiones privilegiadas

Para qué sirve. Gestiona y graba las sesiones privilegiadas hacia los sistemas.

Cuándo usarla. Para iniciar o vigilar una sesión privilegiada y consultar su grabación.

Cómo abrirla. Desde el PAM Hub, recuadro Sesiones.

Qué muestra y cómo se usa. Las sesiones activas e históricas con usuario, sistema, duración y grabación; desde aquí puedes iniciar una sesión (también mediante la Consola PAM, Consola PAM (acceso zero-knowledge)).

Qué pasa después. Las sesiones se graban para auditoría y revisión.

Notas. Admite el modelo zero-knowledge (Consola PAM (acceso zero-knowledge)).

PAM Compliance

Para qué sirve. Verifica el cumplimiento de los accesos y las cuentas privilegiadas respecto a las políticas.

Cuándo usarla. Para las revisiones periódicas de cumplimiento PAM.

Cómo abrirla. Desde el PAM Hub, recuadro Cumplimiento.

Qué muestra y cómo se usa. El estado de cumplimiento (accesos excesivos, cuentas huérfanas, rotaciones no realizadas) y las acciones correctivas.

Qué pasa después. Los incumplimientos alimentan los hallazgos y las acciones de remediación.

Notas. Vinculado a GRC/auditoría.

Consola PAM (acceso zero-knowledge)

Para qué sirve. Abre una consola privilegiada zero-knowledge hacia un CI o sistema, sin mostrar las credenciales al operador.

Cuándo usarla. Cuando tienes que actuar sobre un sistema mientras trabajas en un ticket (p. ej. un incident en un host).

Cómo abrirla. Desde el botón Consola PAM del Editor de ticket (Editor de ticket) cuando el ticket afecta a un CI, o desde la página Sesiones PAM.

Qué muestra y cómo se usa. La consola de sesión hacia el sistema, con el PAM como intermediario: las credenciales se inyectan desde el vault sin revelarse.

Qué pasa después. La sesión se graba (PAM Sesiones privilegiadas) y queda registrada en la auditoría.

Notas. Modelo zero-knowledge: el operador trabaja sin conocer el secreto.

SecOps Admin

Para qué sirve. Es la configuración de la automatización de seguridad (SOAR) y de las políticas de respuesta.

Cuándo usarla. Para configurar la puntuación de riesgo y gestionar las aprobaciones de las acciones de remediación y su reversibilidad.

Cómo abrirla. Desde la página de inicio del Security Hub, recuadro SecOps Admin.

Qué muestra. Tres pestañas:

1. Risk Scoring — Weights Configuration: los pesos y criterios de la puntuación de riesgo.
2. Approvals Queue: la cola de aprobaciones de las acciones de remediación.
3. Rollback Stack: la pila de acciones reversibles (para deshacer una remediación).

Cómo se usa. Defines los pesos de la puntuación; apruebas o rechazas las acciones en cola; gestionas el rollback de las acciones ejecutadas.

Qué pasa después. Los playbooks SOAR ejecutan las acciones aprobadas; el rollback deshace los efectos cuando es posible.

Notas. La configuración de las herramientas de seguridad (Azure Tenant/Client ID/Secret, Type, Endpoint URL) se ha trasladado al Integration Center (Integration Hub e importación). Las acciones sensibles (p. ej. execute_script) están protegidas por cuatro barreras y por una gestión rigurosa de los secretos.

IT Security Report Center

Para qué sirve. Son los informes de seguridad: postura, vulnerabilidades por severidad, incidentes, cumplimiento.

Cuándo usarla. Para generar y consultar los informes de seguridad.

Cómo abrirla. Desde la página de inicio del Security Hub, recuadro IT Security Report Center.

Qué muestra y cómo se usa. El catálogo de informes de seguridad con ámbito por dominio SOC, vista previa, programación y exportación.

Qué pasa después. Los informes se pueden programar y exportar.

Notas. Ámbito restringido al dominio de seguridad.

Agent Monitoring

Para qué sirve. Monitoriza los agentes/endpoints de seguridad instalados en los sistemas.

Cuándo usarla. Para verificar la cobertura y el estado de los agentes (EDR/monitorización).

Cómo abrirla. Desde la página de inicio del Security Hub / área SecOps.

Qué muestra y cómo se usa. El estado de los agentes por host (versión, conectividad, salud); desde aquí localizas los endpoints sin cobertura o en mal estado.

Qué pasa después. Las anomalías pueden generar alertas o tickets.

Notas. Complementa al Attack Surface Management (XDR Ops).

Páginas vinculadas al hub (descritas en otras páginas)

Desde la página de inicio de Seguridad también llegas a páginas tratadas en sus propias páginas: GRC (GRC, riesgo, cumplimiento y legal), ICC (Registro de proyectos / clientes), CMDB con enfoque de seguridad (Asset Management y CMDB), ITOM con enfoque de seguridad (NOC, Observability e ITOM), Agent Control Tower (Hub de IA y agentes), Operations Cockpit y las vistas Service Director SOC/XDR/GRC/ICC (Cockpits y vistas de dirección).