Bezpośrednia odpowiedź
Analityk SOC monitoruje sieci i systemy organizacji pod kątem alertów bezpieczeństwa, ustala, czy każdy alert to rzeczywiste zagrożenie czy fałszywy alarm, a następnie go zamyka lub eskaluje do głębszego dochodzenia i odpowiedzi. To rola defensywna (blue team) skoncentrowana na logach, alertach i kolejce biletów - nie hollywodzki obraz scen szybkiego typowania kodu w hakerskim stylu.
Większość dnia analityka SOC to triage: narzędzie Security Information and Event Management (SIEM - zobacz mój przewodnik SIEM dla początkujących) flaguje coś niezwykłego, a analityk ustala, czy to źle skonfigurowany serwer, kliknięcie phishingowe, które się nie powiodło, czy rzeczywisty kompromis wymagający natychmiastowej eskalacji.
Trzy poziomy i co się zmienia na każdym z nich
| Poziom | Fokus | Typowe zadania | Eskalacja do |
|---|---|---|---|
| Poziom 1 | Triage alertów | Przeglądanie alertów SIEM, zamykanie fałszywych alarmów, dokumentowanie biletów, stosowanie runbook'ów | Poziom 2 dla wszystkiego niejasnego lub potwierdzonego |
| Poziom 2 | Dochodzenie | Głębsza korelacja logów, podstawowa analiza złośliwego oprogramowania, potwierdzanie i określanie zakresu incydentów | Poziom 3 / zespół reagowania na incydenty dla poważnych incydentów |
| Poziom 3 | Threat hunting i reagowanie | Proaktywne polowanie na zagrożenia nie złapane przez istniejące reguły, prowadzenie reagowania na incydenty, dostrajanie reguł detekcji | Wspracuje z kierownictwem/prawnikami w przypadku poważnych naruszeń |
Większość osób czytających to celuje w Poziom 1 - to standardowy punkt wejścia, a mój przewodnik jak zostać analitykiem SOC opisuje, jak tam dotrzeć.
Typowa zmiana, zadanie po zadaniu
- Przekazanie na początku zmiany - przegląd tego, co poprzednia zmiana flagowała lub zostawiła otwarte.
- Praca przez kolejkę alertów SIEM, priorytetyzacja według ważności.
- Dochodzenie każdego alertu: sprawdzenie źródłowego IP, zaangażowanego konta użytkownika, czy zachowanie pasuje do znanego wzoru.
- Zamknięcie fałszywych alarmów z udokumentowanym powodem (ta dokumentacja ma większe znaczenie niż nowi analitycy się spodziewają - to właśnie podlega audytowi).
- Eskalacja prawdziwych lub niejednoznacznych incydentów do Poziomu 2 ze swoimi dotychczasowymi ustaleniami.
- Aktualizacja biletów, uruchamianie zaplanowanych kontroli (status łat, raporty nieudanych logowań) i obsługa ad hoc zapytań od innych zespołów.
- Przekazanie na koniec zmiany następnemu analitykowi.
Jeśli zespół zapewnia 24/7 zasięg, to powtarza się w dzień, wieczorem i nocnymi zmianami na zasadzie rotacji - warto zapytać o to podczas rozmowy kwalifikacyjnej, jeśli schematy zmian są dla ciebie ważne.
Co mówię swoim uczniom
Największa błędna koncepcja, którą ciągle poprawiam: ludzie oczekują, że praca SOC będzie się czuć jak strona ofensywna bezpieczeństwa - aktywne "polowanie na hakerów". Praca na Poziomie 1 jest bardziej podobna do bycia bardzo dobrze poinformowaną pielęgniarką triażu. Większość alertów to szum. Twoja praca to wiedzieć, które nie są, a tę umiejętność buduje się przez powtórzenia i rozpoznawanie wzorów, nie surową techniczną brilliantność. Jeśli uważasz powtarzalne, szczegółowe prace za nudne, bądź szczery wobec siebie w tej kwestii przed zobowiązaniem się - to ma większe znaczenie dla satysfakcji z pracy niż większość przewodników do nauki przyznaje.
Ale jest też druga strona: to właśnie powtórzenie pozwala ci nauczyć się szybko. Sześć miesięcy pracy na Poziomie 1 triażu alertów uczy cię więcej o tym, jak rzeczywiste sieci się zachowują niż rok samodzielnych kursów, ponieważ widzisz rzeczywisty ruch, rzeczywiste błędy konfiguracji i rzeczywiste (choć rzadkie) incydenty.
Mówię też uczniom, żeby nie niedoceniać, jak wiele tej pracy to pisanie. Jasne, zwięzłe notatki o incydentach to sama w sobie umiejętność, a ogromna część twojej reputacji w zespole SOC pochodzi z tego, jak dobrze dokumentujesz to, co znalazłeś, a nie tylko z tego, czy to znalazłeś.
Narzędzia, które będziesz zwykle używać
- Platformy SIEM - Splunk, Microsoft Sentinel, QRadar, lub opcje open-source takie jak Wazuh.
- Systemy ticketingu - ServiceNow, Jira, lub podobne, do śledzenia i eskalacji incydentów.
- Narzędzia EDR - oprogramowanie do detekcji i odpowiedzi na punktach końcowych (CrowdStrike, Defender for Endpoint, SentinelOne) do dochodzenia poszczególnych maszyn.
- Kanały threat intelligence - do sprawdzenia, czy IP lub hash pliku są już znane jako złośliwe.
Jeśli rozważasz, czy ta ścieżka kariery ci odpowiada, zanim poświęcisz czas i pieniądze, umów się na lekcję próbną i możemy porozmawiać o tym, jak rzeczywiście wygląda typowy tydzień na podstawie twojego doświadczenia.
FAQ
Czy praca analityka SOC jest stresująca?
Może być, szczególnie podczas rzeczywistego incydentu lub niezwykle zatłoczonej zmiany, ale na co dzień to systematyczna, oparta na procesach praca, a nie ciągły kryzys. Schematy zmian (w tym noce, u niektórych pracodawców) są często większym źródłem stresu niż sama zawartość techniczna.
Czy analitycy SOC piszą kod?
Zwykle nie na Poziomie 1. Podstawowe skrypty (Python, PowerShell) stają się przydatne na Poziomie 2 i wyższych do automatyzacji powtarzających się zadań dochodzenia, ale nie są wymogiem pierwszego dnia.
Jaka jest różnica między analitykiem SOC a testerem penetracyjnym?
Analityk SOC broni i monitoruje; tester penetracyjny atakuje systemy za pozwoleniem, aby najpierw znaleźć słabości. Pełne porównanie w blue team vs red team.
Skąd wiem, czy praca SOC jest dla mnie?
Jeśli lubisz uporządkowaną, metodyczną pracę śledczą i nie masz nic przeciwko powtórzeniom w służbie osiągnięcia biegłości w rozpoznawaniu wzorów, to jest mocnym punktem wejścia. Jeśli przyciąga cię bezpieczeństwo czysto ze względu na treści ofensywne/hackerskie, które widzisz online, warto najpierw zrozumieć rzeczywistość dnia codziennego - dokładnie do tego służy ten artykuł.
