¿Qué es la ingeniería de detección? Puesto, carrera y sueldo

La ingeniería de detección es la disciplina de construir, probar y mantener la analítica que convierte la telemetría de seguridad en bruto en alertas fiables. Un ingeniero de detección escribe y ajusta reglas de detección (Sigma, YARA, KQL, SPL), las asocia al comportamiento de los adversarios con marcos como MITRE ATT&CK y mide si esas detecciones se activan de verdad ante ataques reales sin ahogar a los analistas en falsos positivos. En resumen: es ingeniería de software aplicada al problema de atrapar intrusiones.

Qué hace realmente un ingeniero de detección en su día a día

El ciclo central es: identificar un comportamiento de amenaza, escribir una detección para él, validarla contra datos de ataque reales o emulados, y después medir y ajustar. En concreto, eso significa:

• Escribir lógica de detección en el lenguaje de consultas de tu SIEM o EDR (Splunk SPL, Microsoft KQL, Elastic EQL) y en formatos portables como Sigma.
• Asociar la cobertura a MITRE ATT&CK para ver qué tácticas y técnicas puedes detectar y cuáles no, y priorizar las carencias.
• Probar las detecciones con herramientas como Atomic Red Team o un ejercicio de purple team, confirmando que la regla se activa y generando las evidencias que lo demuestran.
• Gestionar las detecciones como código: guardar las reglas en Git, ejecutar pipelines de CI y tratar las tasas de falsos positivos y el tiempo medio de detección como métricas que se siguen.

Este último punto es lo que separa la ingeniería de detección moderna del «ajuste de alertas» improvisado. Las detecciones se versionan, se revisan entre pares y se prueban como cualquier otra base de código.

Ingeniería de detección frente a threat hunting

Son complementarios, no lo mismo. Un threat hunter trabaja a partir de una hipótesis («puede que un atacante esté usando DLL sideloading en este entorno») y consulta los datos manualmente para confirmarla o descartarla: el trabajo es exploratorio y a menudo puntual. Un ingeniero de detección toma el resultado positivo de un hunt y lo lleva a producción: convierte esa consulta puntual en una detección duradera, probada y automatizada que se activa cada vez que el comportamiento se repite.

Una forma útil de recordarlo: el threat hunting encuentra la carencia; la ingeniería de detección la cierra de forma permanente. Los equipos maduros los ejecutan como un ciclo de retroalimentación: los hunts alimentan el backlog de detecciones, y la cobertura de detección les dice a los hunters dónde mirar a continuación.

¿Cuánto gana un ingeniero de detección?

La ingeniería de detección está en la parte alta de la retribución del blue team porque exige tanto conocimiento del dominio de seguridad como verdadera capacidad de ingeniería. En el mercado de EE. UU., los ingenieros de detección suelen ganar aproximadamente entre 110.000 y 180.000 $, y los puestos senior y staff en grandes empresas tecnológicas y financieras superan los 200.000 $ de retribución total. El sueldo tiende a ser más alto que el de un analista de SOC generalista porque el puesto requiere programar, dominar los pipelines de datos y saber razonar sobre el modus operandi de los adversarios: una combinación más escasa.

Una hoja de ruta realista y los mejores cursos para llegar

No necesitas dominarlo todo a la vez. Prioriza en este orden:

• Fundamentos: el funcionamiento interno de los sistemas operativos (registros de eventos de Windows, Sysmon, auditd de Linux), redes y cómo funcionan realmente los ataques. Los laboratorios prácticos gratuitos como la ruta Detection Engineering de TryHackMe son una forma barata de ganar soltura aquí.
• Marcos: aprende bien MITRE ATT&CK, además de los estándares de detección Sigma y YARA. Entiende a fondo la correspondencia entre ATT&CK y las detecciones: es la columna vertebral de la planificación de la cobertura.
• Lenguajes de consulta: domina al menos un lenguaje de SIEM/EDR (KQL o SPL son los más demandados) y siéntete cómodo escribiendo detecciones contra telemetría real.
• Disciplina de ingeniería: Git, CI/CD para detecciones como código y pruebas con Atomic Red Team.

Para una formación estructurada e independiente de fabricantes, SANS SEC555 (SIEM with Tactical Analytics) y los cursos de SANS más recientes centrados en detección son las opciones de profundización reconocidas, aunque son caros. Los recursos de la comunidad (la hoja de ruta de Detection Engineering que circula en las comunidades de blue team y las plataformas prácticas) cubren la mayor parte del mismo terreno por una fracción del coste si aprendes por tu cuenta.

Dónde encaja la ingeniería de detección en la madurez del SOC

La ingeniería de detección no es una contratación aislada: es una capacidad hacia la que crece un SOC. El modelo de madurez SOC-CMM de Rob van Os puntúa un SOC en cinco dominios (Business, People, Process, Technology y Services) en una escala de 0 a 5. La ingeniería de detección se apoya directamente en los dominios People y Process: necesitas personal cualificado, pero también procesos repetibles para crear, probar y retirar detecciones. Montar una función de ingeniería de detección antes de que existan esas bases de proceso suele producir un montón de reglas sin mantener en lugar de una cobertura duradera.

Si quieres ver dónde está tu equipo antes de invertir en una capacidad de ingeniería de detección, la herramienta gratuita Security Ops Maturity Model de PlayCISO te da una lectura rápida y estructurada de tu madurez actual en esos dominios.

Preguntas frecuentes

¿Qué hace un ingeniero de detección en su día a día?

El ciclo central es: identificar un comportamiento de amenaza, escribir una detección para él, validarla contra datos de ataque reales o emulados, y después medir y ajustar. En concreto, eso significa: Escribir lógica de detección en el lenguaje de consultas de tu SIEM o EDR (Splunk SPL, Microsoft KQL, Elastic EQL) y en formatos portables como Sigma.

¿En qué se diferencia la ingeniería de detección del threat hunting?

Son complementarios, no lo mismo. Un threat hunter trabaja a partir de una hipótesis («puede que un atacante esté usando DLL sideloading en este entorno») y consulta los datos manualmente para confirmarla o descartarla: el trabajo es exploratorio y a menudo puntual.

¿Cuánto gana un ingeniero de detección?

La ingeniería de detección está en la parte alta de la retribución del blue team porque exige tanto conocimiento del dominio de seguridad como verdadera capacidad de ingeniería. En el mercado de EE. UU., los ingenieros de detección suelen ganar aproximadamente entre 110.000 y 180.000 $, y los puestos senior y staff en grandes empresas tecnológicas y financieras superan los 200.000 $ de retribución total.

¿Cuál es una hoja de ruta realista para entrar en la ingeniería de detección?

No necesitas dominarlo todo a la vez. Prioriza en este orden: Fundamentos: el funcionamiento interno de los sistemas operativos (registros de eventos de Windows, Sysmon, auditd de Linux), redes y cómo funcionan realmente los ataques. Los laboratorios prácticos gratuitos como la ruta Detection Engineering de TryHackMe son una forma barata de ganar soltura aquí.