Аналитик SOC

Проще говоря, «Аналитик SOC» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Аналитик SOC» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

При разборе цепочки событий аналитик SOC обращается к понятию «Аналитик SOC»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.

• Аналитик первой линии SOCАналитик SOC первой линии — специалист первичного триажа, который проверяет алерты, отсеивает шум и эскалирует подтверждённые случаи.
• Аналитик второй линии SOCАналитик SOC второй линии — специалист углублённого анализа, уточняющий сценарий, масштабы и способы сдерживания инцидента.
• Managed Detection and Response (MDR)MDR — управляемая услуга обнаружения и реагирования, в которой внешний провайдер мониторит среду и помогает обрабатывать угрозы.

1. Получить событие или гипотезуАналитик принимает alert, обращение либо задачу поиска с исходным контекстом.
2. Обогатить и проверитьТелеметрию сопоставляют с активом, пользователем, угрозами и нормальным поведением.
3. Классифицировать ситуациюСпециалист определяет достоверность, серьёзность и требуемое действие.
4. Эскалировать и документироватьРезультат передают по процессу и сохраняют доказательства принятого решения.

• Мониторинг и реагирование на инциденты — SOC analystКурс
• Как стать аналитиком SOC с нуля: пошаговый план на 6–12 месяцевСтатья
• SIEM-системы: что это такое и как с ними работает SOC-аналитикСтатья