Apa yang Sebenarnya Dilakukan Analis SOC Tier 1 Sepanjang Hari?

Job postings untuk analis SOC Tier 1 sengaja tidak jelas karena peran ini sebagian besar triage berulang, dan perusahaan tahu "monitor alerts dan investigate incidents" terdengar lebih baik daripada kenyataannya. Begini tampilan pekerjaan dari dalam, ticket by ticket.

Antrian tidak pernah benar-benar kosong

Anda memulai shift dan ada antrian ticket, biasanya dihasilkan oleh SIEM seperti Splunk, Microsoft Sentinel, atau QRadar. Setiap ticket adalah satu alert: login dari negara yang tidak biasa, lonjakan traffic outbound, file yang cocok dengan rule YARA, akun user terkunci lima kali dalam sepuluh menit. SOC yang sibuk menghasilkan ratusan ini per hari, dan sebagian besar adalah masalah Tier 1 terlebih dahulu.

Anda membuka ticket. Ticket memberikan timestamp, source IP, mungkin username, dan rule yang terpicu. Pekerjaan Anda adalah menjawab satu pertanyaan: apakah ini sesuatu, atau ini bukan apa-apa? Itu saja. Anda belum memperbaiki apa pun — Anda memutuskan apakah ini layak perhatian lebih.

Triage adalah 90% context-gathering

Katakanlah alert adalah "impossible travel": seorang user login dari Chicago dan kemudian, 20 menit kemudian, dari Frankfurt. Sebelum Anda memutuskan apa pun Anda menarik konteks:

• Periksa pola login normal user di SIEM — apakah mereka travel untuk pekerjaan, menggunakan VPN, memiliki laptop yang salah melaporkan geolokasi?
• Periksa apakah MFA puas pada kedua login, atau apakah yang kedua menggunakan token yang di-cache.
• Cari source IP di sesuatu seperti VirusTotal atau AbuseIPDB — apakah itu Tor exit node yang dikenal, penyedia VPN, residential ISP?
• Hubungi user secara langsung jika proses SOC Anda memungkinkannya — pesan Slack seperti "hey, apakah kamu login dari Germany sekitar 2pm?" menyelesaikan setengah ticket ini dalam satu balasan.

Sebagian besar waktu itu adalah klien VPN yang beralih server atau ponsel yang sinkron melalui LTE di lokasi yang aneh. Anda menulis apa yang Anda temukan, menandainya sebagai false positive, dan menutup ticket. Itulah pekerjaan, diulang 30-60 kali shift tergantung volume SOC Anda dan kecepatan Anda.

Mengetahui kapan harus eskalasi — dan menulis itu sehingga Tier 2 tidak perlu mengerjakan ulang pekerjaan Anda

Skill yang sebenarnya bukan mengenali malware. Itu mengetahui kapan sesuatu tidak cocok cukup untuk eskalasi, dan menulis eskalasi sehingga Tier 2 dapat mengambilnya tanpa mengerjakan ulang triage Anda dari awal. Eskalasi yang buruk mengatakan "suspicious login, please investigate." Yang baik mengatakan:

User: jsmith@company.com
Alert: Impossible travel (Chicago -> Frankfurt, 22 min apart)
MFA: Satisfied on both logins via push notification
Source IP (Frankfurt): 185.220.101.x — matches known Tor exit node list (AbuseIPDB score 94)
User response: Denies traveling or using VPN; reports no MFA prompt received for second login (possible push fatigue?)
Recommendation: Escalate — possible account compromise via MFA push spam. Recommend forced password reset and session revocation.

Tulis-up itu memakan waktu mungkin delapan menit tetapi itu menghemat Tier 2 dua puluh. Ticket seperti ini — di mana user menyangkal aktivitas dan IP ditandai — adalah yang benar-benar penting, dan mereka mungkin 5% dari antrian Anda.

Tools yang akan Anda sentuh setiap shift

Di luar SIEM, harapkan untuk tinggal di segelintir tools setiap hari: konsol EDR (CrowdStrike Falcon, SentinelOne, Defender for Endpoint) untuk memeriksa process trees dan isolasi hosts jika diperintahkan, sistem ticketing (ServiceNow, Jira) untuk melacak pekerjaan Anda, threat intel lookups (VirusTotal, AbuseIPDB, urlscan.io) untuk pemeriksaan IOC cepat, dan sering kali dokumen runbook atau playbook yang memberitahu Anda persis langkah apa yang harus diikuti untuk setiap tipe alert. Pekerjaan Tier 1 didorong oleh playbook dengan sengaja — konsistensi lebih penting daripada improvisasi pada level ini.

Mengapa pengulangan sebenarnya adalah training

Alasan Tier 1 ada sebagai peran yang berbeda, daripada melemparkan setiap alert langsung ke senior analysts, adalah pattern recognition melalui volume. Setelah beberapa ratus ticket impossible-travel Anda mulai mengenali bentuk yang asli versus switch VPN rutin sebelum Anda bahkan selesai menarik konteks. Naluri itu tidak datang dari kursus — itu datang dari melakukan versi membosankan dari pekerjaan cukup lama sehingga incident yang nyata dan langka benar-benar menonjol.

Jika Anda memetakan jalan ke dalam blue team work, Korra Studio memiliki segmen tentang SIEM query basics, phishing triage workflows, dan apa yang membedakan Tier 1 dari tanggung jawab Tier 2 dalam praktik.