ASOC · Autonomous Security Operations Center
ASOC recibe las alertas de Wazuh y Splunk, las agrupa en incidentes, las analiza con IA y propone la respuesta. Las acciones sensibles esperan a que una persona de tu equipo las apruebe. Corre en tu servidor.
ASOC en desarrollo · abierto a pilotosSelf-hosted · Docker
28 alertas, 4 incidentes: cada uno con su decisión y todo queda registrado.
Qué resolvemos
Falla porque nadie tiene tiempo de leerlas, ordenarlas y decidir qué hacer. ASOC toma ese primer trabajo, el de un analista de primer nivel, y deja a las personas lo que requiere criterio.
Agrupa duplicados y eventos relacionados. Catorce intentos fallidos de SSH son un incidente, no catorce correos.
Hace la revisión inicial, resuelve lo rutinario con evidencia y escala a una persona cuando el caso lo pide.
Un motor de decisiones aplica políticas explícitas. Si ninguna política lo permite, no se ejecuta, y ninguna IA ejecuta acciones destructivas.
ASOC corre en tu servidor, con Docker. La IA puede ser local: alertas, incidentes y auditoría se quedan contigo.
ASOC · Capacidades
Autonomous Security Operations Center. Cada pieza tiene una responsabilidad y pasa su resultado a la siguiente. Así cada decisión se puede explicar y revisar después.
Alertas de Wazuh y Splunk llegan a un formato común, con su origen y hora verificados.
Elimina duplicados y une eventos relacionados del mismo equipo o la misma IP.
Añade contexto a cada indicador antes del análisis: reputación, historial y activo afectado.
Un modelo local con Ollama, o uno en la nube si lo prefieres, resume y estima severidad. La IA propone; no ejecuta.
Reglas explícitas deciden qué se resuelve solo, qué se escala y qué necesita aprobación. Por defecto, se niega.
Las acciones sensibles esperan a alguien de tu equipo. Quién aprobó qué y cuándo queda en un registro inmutable.
Cómo funciona
Un incidente de ejemplo recorrido de principio a fin. Las horas son ilustrativas; el orden de los pasos es el real.
Wazuh y Splunk envían 28 alertas en seis minutos. Catorce son intentos fallidos de SSH contra srv-web-01.
Duplicados y eventos relacionados se agrupan. Las 28 alertas quedan en 4 incidentes.
La IA resume el incidente con el contexto de la IP 203.0.113.42: sin accesos exitosos, patrón de fuerza bruta, severidad alta.
El motor aplica tus políticas y propone bloquear la IP. Es una acción sensible, así que requiere aprobación.
Una persona de tu equipo revisa el resumen y aprueba. También podría rechazarla.
La acción se ejecuta mediante un conector firmado y queda en el registro de auditoría: qué se hizo, quién lo aprobó y cuándo.
Para quién
Dos escenarios para los pilotos. Describen cómo se implementa ASOC en cada caso; todavía no son casos de clientes publicados.
Sin SIEM · con algunas herramientas
Con SOC o servicio de seguridad
Tecnología
ASOC se apoya en componentes abiertos y conocidos. Cada uno tiene un papel concreto; ninguno está ahí por adorno.
| Componente | Papel en ASOC | Dónde corre |
|---|---|---|
| Wazuhdetección | Fuente principal de alertas de servidores y equipos. Lo instalamos si aún no tienes SIEM. | Tu red |
| Splunkfuente | Fuente de alertas para equipos que ya lo usan. | Tu red |
| n8norquestación | Ejecuta las acciones externas aprobadas. Cada llamada va firmada y no se duplica si se reintenta. | Tu servidor |
| PostgreSQLregistro | Incidentes, decisiones, aprobaciones y el registro de auditoría. | Tu servidor |
| OllamaIA local | Modelo de lenguaje local para el análisis. Opcionalmente, un proveedor en la nube. | Tu servidor |
| Dockerdespliegue | Instalación self-hosted con contenedores de solo lectura y mínimo privilegio. | Tu servidor |
Estado · octubre 2026
Aún no publicamos métricas de clientes porque estamos buscando los primeros pilotos. Esto es lo que ya está construido y lo que falta.
Escríbenos con el tamaño de tu empresa y las herramientas de seguridad que usas hoy. Te respondemos desde Ciudad de México.