IA para equipos de seguridad: SOC, CTI y GRC

IA en el SOC

El SOC procesa miles de alertas diarias. El 90% son falsos positivos. Un agente IA puede triagear automaticamente: clasificar severidad, extraer IOCs, correlacionar con feeds CTI, y escalar solo las alertas que requieren atención humana.

Stack recomendado: Qwen3-27B self-hosted (privacidad) + LangGraph (agente con ciclos) + Supabase (almacenamiento) + n8n (orquestacion).

IA en CTI (Threat Intelligence)

Monitorizar feeds CTI, analizar IOCs, generar briefings diarios, correlacionar con tu superficie de ataque. Un agente CTI puede procesar en minutos lo que un analista tarda horas.

Herramientas: MITRE ATT&CK mapping automático, reglas Sigma generadas por LLM, enrichment de IOCs via APIs (VirusTotal, AbuseIPDB, Shodan).

IA en GRC (Compliance)

Automatizar gap analysis contra frameworks (ENS, NIS2, ISO 27001, DORA). Un LLM con RAG sobre la normativa puede evaluar controles, generar planes de accion y producir documentación de compliance.

Caso de uso: subir politica de seguridad → LLM evalua contra ENS Alto → genera informe con gaps y recomendaciones.

Modelos para seguridad

Producción con datos sensibles: Qwen3-27B self-hosted en Hetzner GEX44. NUNCA enviar alertas SOC a APIs externas.

Desarrollo/testing: Claude Sonnet via API con datos sinteticos.

Análisis CTI público: DeepSeek API (barato) o Claude (mejor calidad).

Implementación práctica

Empezar pequeno: un agente que clasifica alertas por severidad. Medir: accuracy vs analista humano. Iterar: anadir enrichment, correlacion, reporting. Escalar: multi-agente con Coordinator + Workers.

Consideraciones ENS Alto

Datos de alertas y logs son sensibles. Self-hosting obligatorio. TLS entre servicios. Logs en EU. Retencion 5 años para auditoria. NUNCA APIs externas con datos de producción.