Praca SOC Analyst

W nocy, w weekend i w święta ktoś w firmie musi patrzeć, czy w sieci i systemach nie dzieje się nic podejrzanego. Robi to centrum operacji bezpieczeństwa, a pracuje w nim analityk SOC (SOC Analyst). Przegląda alerty w systemie SIEM, np. Splunk albo Microsoft Sentinel, odsiewa fałszywe alarmy, a podejrzane zdarzenia bada: sprawdza logi, ruch sieciowy i zachowanie stacji roboczych, po czym eskaluje incydent albo go zamyka.

Na pierwszej linii praca jest zmianowa i oparta na procedurach; analitycy wyższych linii prowadzą dochodzenia, piszą reguły wykrywania i szukają zagrożeń, których żaden alert nie złapał. Przydają się Linux, sieci, skrypty w Pythonie i znajomość taktyk atakujących opisanych w MITRE ATT&CK. Gdy incydent jest poważny, sprawę przejmuje specjalista reagowania na incydenty. Wiele osób zaczyna w SOC karierę w bezpieczeństwie, a potem przechodzi do testów penetracyjnych, jak pentester, albo do inżynierii bezpieczeństwa.