Goroesi Eich Diwrnod Cyntaf 90 Fel Dadansoddwr SOC

Mae dechrau rôl dadansoddwr SOC yn gyffrous ac yn ddryslyd ar yr un pryd. Rydych chi'n cael mynediad i ddwsin o offer, ciw o rybuddion, a disgwyliadau niwlog am pa mor gyflym y dylech chi fod yn dal bygythiadau go iawn. Mae'r 90 diwrnod cyntaf yn gosod trywydd ar gyfer eich holl yrfa yn y rôl, felly mae'n werth eu hymdrin â nhw yn fwriadol yn hytrach na dim ond goroesi.

Wythnosau 1-2: Amsugno Cyn Gweithredu

Gwrthsefyll yr awydd i ddechrau cau tocynnau yn syth fel hen law. Yn gynnar, eich swydd yw deall yr amgylchedd: sut mae'r traffig arferol yn edrych, pa asedau sy'n gems y goron, beth yw'r llwybr escalation, a phwy sy'n berchen ar beth. Darllen y llyfraweb hyd yn oed os ydynt yn hen - mae llyfraweb hen yn dweud llawer wrthych chi am fylchau gwybodaeth dribaol y bydd angen i chi eu llenwi'n ddiweddarach.

Treuliwch amser yn y SIEM dim ond yn ymholi, nid yn triaging. Datrys gyda'r ffynonellau data sy'n ei fwydo: logiau tân-wal, telemetri EDR, logiau DNS, logiau dilysu. Os nad ydych chi'n gwybod ble mae ffynhonnell log yn byw neu sut mae'n cael ei normaleiddio, gofynnwch nawr. Nid oes neb yn disgwyl rhugledd yn wythnos un, ac mae cwestiynau a ofynnir yn gynnar yn darllen fel diwydantrwydd, nid anghymhwyster.

Wythnosau 3-5: Cysgodi, Yna Triaging o dan Arolygiaeth

Dyma pryd rydych chi'n dechrau gweithio ar rybuddion go iawn, ond wedi'u paru â dadansoddwr uwch neu ffrind escalation clir. Canolbwyntiwch ar adeiladu arferiad triaging ailadroddadwy:

• Cadarnhewch fod y rhybudd wedi tanio'n gywir — gwiriwch y log crai, nid dim ond crynodeb yr rhybudd.
• Sefydlu cyd-destun — a yw'r ased hwn yn orsaf waith, yn weinydd, yn gyfrif gwasanaeth? Beth yw'i ymddygiad llinell sylfaen?
• Amcangyfrif yr ystod chwythu — a oedd hyn yn cyffwrdd â hostiau eraill, cyfrifon eraill, amserlenni eraill?
• Dogfennwch wrth fynd — mae eich nodiadau heddiw yn y gwybodaeth sefydliadol y mae rhywun arall yn dibynnu arni mewn chwe mis.

Camgymeriad cyffredin ar y llwyfan hwn yw cau rybuddion yn rhy gyflym i edrych yn effeithiol. Mae cyflymder yn bwysig yn y pen draw, ond mae cywirdeb a rhesymu yn bwysicach yn awr. Gall dadansoddwr uwch ddysgu llwybrau culto i chi'n ddiweddarach; nid ydynt yn gallu yn hawdd dadsefydlu drwg arferion.

Wythnosau 6-8: Adeiladu Reddau Playbook Eich Hun

Erhyn hyn, dylech chi fod yn delio â mathau rhybuddion cyffredin — adroddiadau phishing, ymdrechion brute-force, gweithrediad PowerShell amheus — gyda llai o gymorth llaw. Dechrau sylwi ar batrymau na fydd rheolau canfod presennol yn eu dal. Efallai bod rhybudd penodol bob amser yn tanio ar swydd wrth gefn diniwed. Efallai bod techneg go iawn yn parhau i lithro drwodd oherwydd bod rhesymeg y rheol yn rhy gul. Dod â'r sylwadau hyn i'ch tîm; cyfrannu awgrymiadau tiwnio mor gynnar yn signalu menter. Dyma hefyd y pwynt i ddod yn gyfforddus â'r edrychadau bygythiad sylfaenol — gwirio IP, heshau, a parthau yn erbyn ffynonellau fel VirusTotal neu lwyfan bygythiad intel eich sefydliad — ac yn deall sut mae'r cyd-destun hwnnw yn newid difrifoldeb yr rhybudd.

Wythnosau 9-12: Cymryd Perchnogaeth a Gofyn am Adborth

Yn y strech terfynol, gwthiwch am ragor o ymreolaeth ar eich sifft tra'n dal i gadarnhau escalations cyn cau dim byd amwys. Dechrau dilyniant eich metrigau eich hun yn anffurfiol: faint o rybuddion a ddelioch chi, faint oedd yn ffug-positif, pa mor aml oedd yn rhaid i chi ail-agor rhywbeth. Nid yw hyn yn ymwneud â phrofi cynhyrchiant — mae'n ymwneud â sylwi ble mae eich barnaeth yn gadarn ac ble mae angen calibriad arni.

Gofynnwch i'ch arweinydd yn uniongyrchol: "Beth rwy'n ei golli y byddai dadansoddwr mwy profiadol yn ei ddal?" Mae'r rhan fwyaf o arweinyddion SOC yn parchu cais uniongyrchol am adborth lawer mwy na sicrwydd tawel. Dyma hefyd amser da i nodi diddordeb arbenigaeth — gwaith tolediad, hela bygythiad, ymateb digwyddiad, dadansoddi malware — oherwydd mae gwaith SOC yn agor drysau mewn llawer o gyfarwyddiadau, ac mae dangos chwilfrydedd ynghylch llwybr penodol yn helpu i lunio sut mae eich rheolwr yn eich neilltuo i waith ymestyn.

Arferion Gwerth Eu Hadeiladu o'r Cyntaf Diwrnod

Mae ychydig o bethau'n ad-dalu anibynnol o offer SOC penodol eich sefydliad neu lefel aeddfed:

• Ysgrifennwch nodiadau glân, wedi'u stampio amser ar bob ymchwiliad, hyd yn oed y rhai caeedig.
• Dysgu'r topoleg rhwydwaith, nid dim ond y meysydd log — mae gwybod beth sy'n cymryd siarad â beth yn gwneud anomalïau yn amlwg yn gyflymach.
• Ymarfer ysgrifennu crynodebau digwyddiad y gallai rheolwr di-dechnegol eu deall; mae'r sgiliau hwn yn ffurfio drwy gydol eich yrfa.
• Aros yn chwilfrydus am ffug-positif — mae tiwnio todeciadu drwg yn aml yn fwy gwerthfawr na chloi tocynnau'n gyflym.

Nid yw'r 90 diwrnod cyntaf yn ymwneud â dod yn arbenigwr. Maent yn ymwneud ag adeiladu'r barnaeth, arferion, a pherthynas sy'n eich gadael i ddod yn un dros y ychydig flynyddoedd nesaf.

Os ydych chi am hogi'r seiliau technegol y tu ôl i waith SOC — dadansoddi log, seiliau rhwydwaith, neu weithredoedd ymateb digwyddiad — archwiliodd segmentau Blue Team a Digital Forensics cysylltiedig ar Korra Studio.