Adversary SOAR

Automatiza tus operaciones de seguridad, de la alerta a la resolución.

Playbooks en grafo que unen sensor, SIEM y decisión. Mira cómo cuatro agentes montan el flujo y desliza para ejecutarlo.

Hablar con un experto Cómo funciona
Conexión entrante sentra-agent · sensor de red
Línea base de puertosDataSet · PowerQuery
Puertos señuelosentra-agent
¿Comportamiento atípico?Clef · Workers AI
Avisar al analistaAnalista de guardia
Bloquear IPCuarentena de red
Huella del escánernmap · orden de sondeo
Informe PDF · auditoría
Conexión entrante sentra-agent · sensor de red
Línea base de puertosDataSet · PowerQuery
Puertos señuelosentra-agent
¿Comportamiento atípico?Clef · Workers AI
Avisar al analistaAnalista de guardia
Bloquear IPCuarentena de red
Huella del escánernmap · orden de sondeo
Informe PDF · auditoría
run #4f2a · port-scan-responseDesliza para ejecutar el playbook

Qué hace

De la alerta a la resolución, sin manos.

Cada alerta entra en un playbook: se enriquece con lo que ya saben tus herramientas, una puntuación decide y la respuesta sale sola. Tú ves la traza.

Ecosistema de integraciones

Cada nodo del playbook habla directamente con la herramienta que ya tienes. Sin pegamento, sin middleware.

SentinelOneElasticCrowdStrikeSplunkMicrosoft AzurePagerDutyJiraSlackVirusTotalOktaDatadogCloudflareQualysTenableAWS
min

Minutos, no horas

Clasifica, enriquece y responde antes de que un analista abra la alerta. El grafo hace el trabajo repetitivo.

log

Cero callejones sin salida

Cada ejecución deja una traza completa: entradas, salidas, decisiones y tiempos por nodo.

El playbook

Del escaneo de puertos al informe.

El flujo del hero es un playbook real: ocho nodos, dos ramas en paralelo y una decisión de Clef. Así caza un escaneo que no se parece a nada de lo normal.

  • 01Observarsentra-agent registra cada conexión entrante con su puerto desde el propio endpoint y la envía a DataSet. Sin sondas nuevas en la red ni cambios en el perímetro.
  • 02CompararUna PowerQuery pregunta al SIEM qué puertos ha pedido alguien a ese host en 90 días. Un puerto que nadie ha pedido nunca es la primera señal.
  • 03TentarPuertos señuelo: el agente contesta SYN-ACK en puertos al azar que no sirven nada. Un cliente legítimo no los toca jamás; un nmap, todos.
  • 04DecidirClef, en Cloudflare Workers AI, junta las señales (puerto inédito, señuelos tocados, ritmo del escaneo) y dice en milisegundos si el comportamiento es atípico.
  • 05ResponderAviso al analista de guardia, cuarentena de red en SentinelOne, huella del escáner por su orden de sondeo e informe listo para auditoría.
run #4f2a · port-scan-response00:02.3
  1. Conexión entrante en :8291185.220.101.42
  2. Línea base de puertos0 peticiones · 90 d
  3. Puertos señuelo tocados7 · SYN
  4. Clef: comportamiento atípicosí · 0,97
  5. Aviso al analista de guardiaenviado · 0,4 s
  6. IP en cuarentena de redSentinelOne · 0,6 s
  7. Huella del escánernmap -sS · lineal
  8. InformePDF · listo

Más playbooks

Otros ejemplos, con la misma forma.

Detectar, enriquecer en paralelo, decidir, responder en paralelo, cerrar. Cambia el disparador y el resto encaja: una API señuelo, un portal VPN falso, un correo reportado, una clave en un commit.

API señuelo · RASP

De /api/docs al baneo en el WAF

Un paquete en la app sirve endpoints evidentes (/api, /api/docs, /api/users) con respuestas fijas y sin backend: no hay nada que explotar, solo con qué delatarse.

GET /api/docs
Secuencia
Correo real
¿Ataque?
Banear IP
Reportar IP
Reset usuario
Informe
run #a31c · honey-api-recon
  1. TentarLa app expone /api, /api/docs y /api/users con una doc OpenAPI falsa y respuestas fijas. Sin backend no hay nada que explotar.
  2. Leer la secuenciadocs → version → users en segundos no es un usuario, es reconocimiento. Y un POST a /api/users con el correo de un usuario real es credential stuffing con datos filtrados.
  3. CortarBaneo de la IP en el WAF de Cloudflare y reporte a AbuseIPDB con la evidencia.
  4. CerrarAl usuario cuyo correo se usó: reset de contraseña y revisión de MFA en Entra ID. Informe listo.
Cloudflare WAFAbuseIPDBEntra ID
VPN señuelo · vpn-honeypots

Una contraseña filtrada, probada contra un portal que no existe

Un portal VPN falso (FortiGate, GlobalProtect, Citrix) que solo sirve HTML estático. Quien intenta entrar trae credenciales de alguna filtración.

Login señuelo
¿Usuario real?
Reputación IP
¿Credencial?
Revocar sesión
Bloquear IP
Origen fuga
Informe
run #77e0 · honey-vpn-login
  1. TentarEl portal responde como un FortiGate de verdad, pero es HTML estático: sin sesión, sin backend, sin nada que romper.
  2. Comprobar¿El usuario que prueban existe en Entra ID? Si existe, la contraseña viene de una filtración, no de un diccionario. La IP se contrasta con VirusTotal.
  3. Decidir y cortarCredencial real: se revocan sus sesiones, se fuerza el reset y la IP se bloquea en el perímetro.
  4. CerrarSe busca de dónde salió la contraseña (logs de infostealers, HIBP) y el informe queda listo.
Entra IDVirusTotalFortiGate
Correo · botón de reportar

Del correo sospechoso a los buzones limpios

Un usuario pulsa «reportar». Antes de que nadie lo lea, el playbook ya sabe si es malicioso y a quién más le llegó.

Reportado
URL y adjunto
Destinatarios
¿Malicioso?
Purgar buzones
Cortar dominio
Avisar
Informe
run #c902 · phishing-report
  1. DetectarEl botón de reportar abre la ejecución con el correo original adjunto.
  2. EnriquecerVirusTotal analiza la URL y el adjunto; Microsoft 365 dice a cuántos buzones llegó el mismo mensaje.
  3. Decidir y cortarMalicioso: se purga de todos los buzones y el dominio se bloquea en Cloudflare Gateway.
  4. CerrarAviso a quienes llegaron a abrirlo y el informe con la cadena completa.
VirusTotalMicrosoft 365Cloudflare Gateway
Código · secret scanning

Una clave en un commit, rotada antes de que la usen

GitHub avisa de una clave en un push. El playbook comprueba si es válida, la rota y avisa a quien la subió.

Clave en push
¿Válida?
Autor
¿En prod?
Rotar clave
Avisar autor
Limpiar git
Informe
run #5d18 · leaked-secret
  1. DetectarEl secret scanning de GitHub encuentra una clave en un commit y avisa por webhook.
  2. EnriquecerSe prueba la clave contra su proveedor y se mira quién la subió y en qué repositorio.
  3. Decidir y cortarVálida y de producción: se rota en el proveedor y se avisa al autor por Slack con la nueva ruta.
  4. CerrarEl commit se reescribe fuera del historial y el informe queda listo.
GitHubAWSSlack

Acompañamiento

De la consultoría al despliegue, y después.

Montamos los playbooks contigo sobre tus herramientas, los dejamos corriendo y seguimos ahí cuando cambie tu stack.

Hablar con un experto
Merabytes

Un responsable con nombre

Del primer playbook al cierre de cada incidente. Una persona, no un portal.