SOC следит за событиями безопасности и помогает вовремя заметить атаку. Одни специалисты разбирают сигналы, другие создают правила обнаружения, подключают источники данных или ищут скрытые угрозы. Среди SIEM, с которыми работают российские команды, — MaxPatrol SIEM, Kaspersky SIEM / KUMA и R-Vision SIEM. Границы L1, L2 и L3 определяет конкретная команда; они не равны автоматически уровням Junior, Middle и Senior. Первичный разбор файлов может входить в работу аналитика SOC. Для глубокого анализа подключается аналитик ВПО — из SOC, команды реагирования или исследовательской лаборатории. Его профиль показан непосредственно на карте.
Должность
Аналитик SOC L1
Проверяет сигнал, уточняет контекст и передаёт обоснованное решение по процедуре. Результат — понятный и воспроизводимый разбор алерта.
- Проверять и классифицировать оповещения
- Анализировать события безопасности
- Анализировать сетевой трафик
- Готовить технический отчёт
Базовые знания: Журналы событий и синхронизация времени; Принципы SIEM; Тактики и техники атакующих / TTP; Управление инцидентом; Техническая аргументация; TCP/IP и адресация; DNS, HTTP и TLS; Проверка источников и достоверности сведений; Бизнес-процессы.
Зависит от используемых систем: Устройство Windows; Устройство Linux; Active Directory.
Должность
Аналитик SOC L2
Соединяет сигналы в картину инцидента: проверяет гипотезы, определяет затронутые активы и предлагает следующие действия.
- Проверять и классифицировать оповещения
- Анализировать события безопасности
- Определять масштаб инцидента
- Восстанавливать хронологию
- Анализировать сетевой трафик
- Определять тактики и техники атакующего
- Готовить технический отчёт
Базовые знания: Журналы событий и синхронизация времени; Принципы SIEM; Тактики и техники атакующих / TTP; Управление инцидентом; Техническая аргументация; События рабочих станций и серверов; TCP/IP и адресация; Цифровые артефакты; DNS, HTTP и TLS; Проверка источников и достоверности сведений; Бизнес-процессы.
Зависит от используемых систем: Устройство Windows; Устройство Linux; Active Directory; Форматы файлов: PE, ELF, документы и скрипты; Изолированная лаборатория анализа ВПО.
Должность
Ведущий аналитик SOC / L3
Разбирает сложные случаи и улучшает аналитические процедуры, покрытие и качество работы SOC. Это экспертная ветка развития.
- Анализировать события безопасности
- Определять масштаб инцидента
- Определять тактики и техники атакующего
- Проверять качество телеметрии
- Проверять правила обнаружения
- Готовить технический отчёт
Базовые знания: Журналы событий и синхронизация времени; Техническая аргументация; Управление инцидентом; События рабочих станций и серверов; TCP/IP и адресация; Тактики и техники атакующих / TTP; Проверка источников и достоверности сведений; Принципы SIEM; Показатели качества; Git и тестирование; Основы анализа данных; Бизнес-процессы.
Зависит от используемых систем: Устройство Windows; Устройство Linux; Форматы файлов: PE, ELF, документы и скрипты; Изолированная лаборатория анализа ВПО; Цифровые артефакты.
Должность
Руководитель SOC
Отвечает за команду, процессы, качество сервиса и взаимодействие с заказчиками. Управленческое развитие требует компетенций сверх технической экспертизы.
- Организовывать работу сервиса ИБ
- Оценивать результативность работы ИБ
- Развивать команду
- Обосновывать ресурсы ИБ
- Согласовывать решения с другими командами
Базовые знания: Управление сервисом; Показатели качества; Бизнес-процессы; Основы анализа данных; Организация работы команды; Обучение взрослых; Планирование ресурсов; Риск и последствия; Техническая аргументация.
Должность
Инженер SIEM
Обеспечивает пригодность событий для обнаружения и расследования: подключение, нормализацию, доставку и качество данных.
- Настраивать разбор и нормализацию событий
- Проверять качество телеметрии
- Интегрировать системы и сервисы ИБ
- Автоматизировать обработку данных
Базовые знания: Журналы событий и синхронизация времени; Принципы SIEM; Основы программирования; События рабочих станций и серверов; Показатели качества; API и интеграции; Идентификация и доступ; Управление сервисом; Git и тестирование.
Зависит от используемых систем: Устройство Linux; Цифровые артефакты.
Должность
Detection Engineer
Создаёт и улучшает правила обнаружения атак. Проверяет, какие события нужны для правила, тестирует его на атаках и обычной активности и разбирает ложные срабатывания.
- Разрабатывать правила обнаружения
- Проверять правила обнаружения
- Сопровождать правила обнаружения
- Проверять качество телеметрии
- Определять тактики и техники атакующего
- Автоматизировать обработку данных
Базовые знания: Тактики и техники атакующих / TTP; Журналы событий и синхронизация времени; События рабочих станций и серверов; Git и тестирование; Основы анализа данных; Управление сервисом; Показатели качества; Принципы SIEM; Проверка источников и достоверности сведений; Техническая аргументация; Основы программирования; API и интеграции.
Должность
Инженер SOAR / IRP
Переводит согласованные процедуры SOC в устойчивые интеграции и сценарии. IRP отвечает за ведение процесса инцидента; SOAR добавляет оркестрацию и автоматизацию.
- Разрабатывать сценарии реагирования
- Интегрировать системы и сервисы ИБ
- Автоматизировать обработку данных
- Согласовывать решения с другими командами
Базовые знания: Управление инцидентом; API и интеграции; Управление сервисом; Идентификация и доступ; Основы программирования; Git и тестирование; Бизнес-процессы; Техническая аргументация.
Должность
Threat Hunter
Ищет следы действий противника, для которых может не быть готового алерта. Документирует гипотезу, метод поиска и ограничения выводов.
- Формулировать гипотезы поиска угроз
- Искать угрозы по гипотезам
- Анализировать события безопасности
- Определять тактики и техники атакующего
- Автоматизировать обработку данных
- Проверять качество телеметрии
- Готовить технический отчёт
Базовые знания: Тактики и техники атакующих / TTP; Цикл киберразведки; Основы анализа данных; Журналы событий и синхронизация времени; События рабочих станций и серверов; TCP/IP и адресация; Техническая аргументация; Проверка источников и достоверности сведений; Основы программирования; API и интеграции; Git и тестирование; Принципы SIEM; Показатели качества; Бизнес-процессы.
Зависит от используемых систем: Устройство Windows; Устройство Linux; DNS, HTTP и TLS; Active Directory; Цифровые артефакты.
Должность
Аналитик вредоносного ПО
Исследует вредоносные файлы и скрипты: объясняет их поведение, извлекает признаки для обнаружения и помогает SOC, реагированию и Threat Intelligence.
- Проводить статический анализ ВПО
- Проводить динамический анализ ВПО
- Проводить реверс-инжиниринг программ
- Определять тактики и техники атакующего
- Готовить технический отчёт
- Разрабатывать правила поиска ВПО
- Проверять и обогащать индикаторы компрометации
Базовые знания: Форматы файлов: PE, ELF, документы и скрипты; Выполнение программ и память; Основы программирования; Изолированная лаборатория анализа ВПО; TCP/IP и адресация; Цифровые артефакты; Архитектура процессора и ассемблер; Тактики и техники атакующих / TTP; Проверка источников и достоверности сведений; Техническая аргументация; Бизнес-процессы; DNS, HTTP и TLS; API и интеграции.
Зависит от используемых систем: Устройство Windows; Устройство Linux.
Специализация
Сетевой анализ угроз / NDR
Исследует сетевые данные и связывает их с возможной активностью противника.
- Анализировать сетевой трафик
- Анализировать события безопасности
- Определять тактики и техники атакующего
- Готовить технический отчёт
Базовые знания: TCP/IP и адресация; DNS, HTTP и TLS; Журналы событий и синхронизация времени; Техническая аргументация; Тактики и техники атакующих / TTP; Проверка источников и достоверности сведений; Бизнес-процессы.
Зависит от используемых систем: Устройство Windows; Устройство Linux.
