Аналитик второй линии SOC

Проще говоря, «Аналитик второй линии SOC» помогает команде отделить значимое событие от фонового шума, собрать контекст и выбрать следующий шаг аналитика. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Аналитик второй линии SOC» используют так: его используют при подключении телеметрии, разработке правил обнаружения, разборе срабатываний и эскалации инцидентов. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

При разборе цепочки событий аналитик SOC обращается к понятию «Аналитик второй линии SOC»: проверяет контекст актива и учётной записи, подтверждает признак и выбирает действие по сценарию реагирования.

• Аналитик третьей линии SOCАналитик SOC третьей линии — эксперт по сложным расследованиям, инженерии детектирования, угрозам или вредоносному ПО.
• Руководитель SOCРуководитель SOC — роль, отвечающая за процессы, показатели, людей, покрытие детектирования и качество реагирования SOC.
• Коллектор событий безопасностиКоллектор событий безопасности — компонент, принимающий журналы и телеметрию из источников для последующей передачи и обработки.

1. Получить эскалацию L1L2 проверяет исходные факты, гипотезу и полноту собранной телеметрии.
2. Определить масштабИщут связанные узлы, учётные записи, процессы и сетевые события.
3. Подтвердить сценарийАналитик восстанавливает цепочку действий и отделяет факты от предположений.
4. Предложить сдерживаниеКоманде реагирования передают подтверждения, масштаб и безопасные действия.

• Мониторинг и реагирование на инциденты — SOC analystКурс
• Как стать аналитиком SOC с нуля: пошаговый план на 6–12 месяцевСтатья
• SIEM-системы: что это такое и как с ними работает SOC-аналитикСтатья