Sut Rwy'n Egluro Fy Canfyddiadau mewn Briffing SOC?

Mae sgiliau technegol yn eich cael chi i'r dadansoddiad. Mae cyfathrebu yn eich cael chi i gael eich credu, ariannu, a'ch cyflogi. Mae dadansoddwyr sy'n gallu egluro beth ddigwyddodd, pam mae'n bwysig, a beth i'w wneud nesaf yn gyson yn perfformio'n well na chydweithwyr sydd â gwybodaeth ddyfnach am offer ond na allant gyrraedd y neges.

Strwythuro briffing digwyddiad

Defnyddiwch y pyramid wedi'i droi: arweiniwch gyda'r casgliad, yna cymorthwch ef. Mae rheolwr neu arweinydd ar alwad sy'n cerdded i mewn i'ch briffing angen yr ateb i "ydym ni wedi'n torri i mewn a oes angen i mi weithredu" yn y deg eiliad cyntaf, nid wedi'i gladdu mewn manylion dal pecyn ar funud chwech.

Strwythur gweithredol:

1. Beth ddigwyddodd — un frawddeg. "Gweithredodd gorsaf waith mewn cyllid macro niweidiol ac anfon signal i IP allanol."
2. Effaith hyd yma — cwmpas, systemau yr effeithiwyd arnynt, data yr effeithiwyd arno neu heb ei effeithio.
3. Beth rydym ni wedi'i wneud — camau ynysu, blocio, a chyfnodiad sydd eisoes wedi'u cymryd.
4. Beth sydd ei angen arnom — penderfyniadau, adnoddau, neu gymeradwyaeth o'r ystafell.
5. Llinell amser — rhestr fer mewn trefn amseryddol ar gyfer unrhyw un sy'n dymuno manylion, wedi'i chadw ar wahân i'r pennod.

Osgowch adrodd ar eich proses ymchwilio ("yn gyntaf, gwiriais y konsolau EDR, yna pivot-iais i logiau DNS") oni bai bod rhywun yn gofyn yn benodol sut y daethoch chi yno. Dyna'ch dull chi, nid eu problem nhw. Cadwch ef ar gyfer yr adroddiad ysgrifenedig neu'r dilyniant SME.

Ysgrifennu trosglwyddiadau na fyddant yn colli cyd-destun

Mae trosglwyddiadau shifft yn methu am un rheswm yn fwy na dim arall: mae'r dadansoddwr sy'n gadael yn rhagdybio bod yr un sy'n dod i mewn yn cofio cyd-destun sy'n bodoli dim ond yn eu pen nhw. Ysgrifennwch drosglwyddiadau fel petai gan y darllenydd sero atgof o'r shift.

Mae nodyn trosglwyddiad da yn cynnwys:

• Tudalen/ID achos a statws cyfredol (agored, monitro, yn aros am ymateb)
• Beth a sbardunwyd yr ymchwiliad
• Beth sydd wedi'i gadarnhau yn erbyn beth sydd yn dal yn rhagdybaeth
• Gweithred benodol nesaf a phwy sy'n berchen arni
• Unrhyw rwystrau (yn aros am newid tân-glawdd, yn aros am alwad yn ôl gan ddefnyddiwr)

Enghraifft o linell trosglwyddiad wan: "Edrych ar yr rhybudd ar HOST-2231, mae'n ymddangos yn amheus, byddaf yn gwirio yfory."

Enghraifft o un cryf: "Sbardunwyd HOST-2231 rheol Sigma ar gyfer mynediad LSASS gan ddeuaidd heb lofnod (proc: update.exe, hash: 3f2c...). Cadarnhawyd gydag EDR na ddigwyddodd tŵmp cof. Mae'r defnyddiwr allan tan 9am — dim cyfweliad eto. Cam nesaf: tynnu ddata prefetch a sched task, eskaladu i IR os yw'r binari yn cyfateb i amrywiad Mimikatz hysbys."

Mae'r fersiwn ail yn gadael i'r dadansoddwr nesaf weithredu ar unwaith heb ail-wneud eich gwaith.

Cwestiynau senario cyfweliad: beth maent yn eu profi mewn gwirionedd

Pan mae cyfwelydd yn dweud "cerdded i mi trwy sut y byddech yn ymchwilio i rybudd pysgota", nid ydynt yn graddio a ydych chi'n gwybod yr enwau offer cywir. Maent yn gwirio a oes gennych chi broses ailadroddus ac a allwch chi adrodd eich rhesymu yn uchel dan ysgafn bwysau — sy'n union yr hyn y mae shift go iawn yn ei gyflwyno.

Strwythurwch eich ateb yr un ffordd y byddech yn strwythuro'r digwyddiad ei hun:

• Nodi eich blaenoriaeth driaj yn gyntaf (a yw hwn wedi'i gynwys, a yw'n lledaenu, a yw'n ymgeisydd ffug positif)
• Enwi ddata benodol y byddech yn eu tynnu (pennawd e-bost, enw da'r anfonwr, dadweddu URL sandbox, newidiadau rheolau blwch post)
• Dweud beth a fyddai'n newid eich cam nesaf ("os yw'r dadweddiad sandbox yn dangos tudalen casgliad credyd, byddwn yn sydd yn twiO am auth llwyddiannus o'r defnyddiwr hwnw yn yr 24 awr diwethaf")
• Cloi gyda meini prawf eskaladu — beth sy'n eich gwneud yn galw hyn yn ddigwyddiad cadarnhawyd yn erbyn ei gau fel diniwed

Mae cyfwelwyr yn sylwi pan fydd ymgeiswyr yn siarad mewn absoliwt heb unrhyw ddull brongio. Mae ymchwiliadau go iawn yn amodol: "os X, yna Y; os na, yna Z." Dangos bod brongio yn werth mwy na adrodd pob ffynhonnell log yr ydych chi wedi'i chlywed erioed.

Cyfieithu ar gyfer rhanddeiliaid nad ydynt yn dechnegol

Nid oes angen i CFO glywed "symudiad ochrol trwy llwyfanddio'r cymysgedd yn targedu'r rheolwr parth." Maent angen "defnyddiodd ymosodwr credyd dwyn i geisio cyrraedd system sy'n rheoli mynediad ar gyfer y cwmni i gyd; rhoethasom ei rwystro cyn iddo lwyddo." Cadwch y fersiwn dechnegol ar gael mewn atodiad neu ddogfen dilynol ar gyfer pobl sy'n gofyn, ond arweiniwch sgwrsiau gyda effaith fusnes iaith plaen: arian, amser datodiad, agwedd data, agwedd reoleiddiol.

Un arferiad sy'n helpu ar draws pob tri chyd-destun — briffings, trosglwyddiadau, a chyfweliad — yw ysgrifennu crynodeb un frawddeg cyn i chi ysgrifennu dim byd arall. Os na allwch chi gywasgu'r sefyllfa i un frawddeg, nid ydych chi'n ei deall yn ddigon da eto i'w egluro i rywun arall.

I gael rhagor ar strwythuro ysgrifeniadau digwyddiadau a pharatoi cyfweliad penodol i rolau tim glas, gwiliwch y segmentau Korra Studio cysylltiedig ar ysgrifennu adroddiad a hymarfer cyfweliad dadansoddydd SOC.