Аналитик третьей линии SOC

Проще говоря, «Аналитик третьей линии SOC» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Аналитик третьей линии SOC» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

При разборе цепочки событий аналитик SOC обращается к понятию «Аналитик третьей линии SOC»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.

• Руководитель SOCРуководитель SOC — роль, отвечающая за процессы, показатели, людей, покрытие детектирования и качество реагирования SOC.
• Managed Detection and Response (MDR)MDR — управляемая услуга обнаружения и реагирования, в которой внешний провайдер мониторит среду и помогает обрабатывать угрозы.
• Управление журналами событийУправление журналами событий — сбор, хранение, нормализация, защита и использование журналов для эксплуатации, аудита и расследований.

1. Сформулировать сложную гипотезуL3 разбирает нестандартный сценарий, который не объясняется базовыми правилами.
2. Провести глубокий анализИспользуют форензику, reverse engineering, hunting и дополнительные источники.
3. Подтвердить первопричинуСвязывают технику противника, использованную слабость и последствия.
4. Улучшить обнаружениеРезультат превращают в правило, плейбук или изменение архитектуры защиты.

• Мониторинг и реагирование на инциденты — SOC analystКурс
• Как стать аналитиком SOC с нуля: пошаговый план на 6–12 месяцевСтатья
• SIEM-системы: что это такое и как с ними работает SOC-аналитикСтатья