Sopravvivere ai tuoi primi 90 giorni come analista SOC

Iniziare un ruolo di analista SOC è emozionante e disorientante allo stesso tempo. Ti viene dato accesso a una dozzina di tool, una coda di alert, e aspettative vaghe su quanto velocemente dovresti catturare minacce reali. I primi 90 giorni tracciano la traiettoria dell'intera tua carriera nel ruolo, quindi vale la pena affrontarli deliberatamente piuttosto che solo sopravvivervi.

Settimane 1-2: Assorbi Prima di Agire

Resisti all'impulso di iniziare subito a chiudere ticket come un veterano. All'inizio, il tuo lavoro è capire l'ambiente: come appare il traffico normale, quali asset sono gioielli della corona, qual è il percorso di escalation, e chi possiede cosa. Leggi i runbook anche se sono obsoleti — i runbook obsoleti ti dicono molto sui gap di conoscenza tribale che dovrai colmare dopo.

Passa tempo nel SIEM solo facendo query, non triage. Familiarizzati con le sorgenti di dati che lo alimentano: log firewall, telemetria EDR, log DNS, log di autenticazione. Se non sai dove vive una sorgente di log o come è normalizzata, chiedi ora. Nessuno si aspetta fluidità nella prima settimana, e le domande fatte subito si leggono come diligenza, non incompetenza.

Settimane 3-5: Osserva, Poi Triage Sotto Supervisione

Qui è quando inizi a lavorare su alert reali, ma abbinato a un analista senior o a un chiaro buddy di escalation. Concentrati sulla costruzione di un'abitudine di triage ripetibile:

• Conferma che l'alert si sia attivato correttamente — controlla il log grezzo, non solo il riassunto dell'alert.
• Stabilisci il contesto — questo asset è una workstation, un server, un account di servizio? Qual è il suo comportamento baseline?
• Delimita il raggio di impatto — ha toccato altri host, altri account, altri timeframe?
• Documenta mentre procedi — le tue note oggi sono la conoscenza istituzionale su cui qualcun altro fa affidamento tra sei mesi.

Un errore comune in questa fase è chiudere gli alert troppo velocemente per sembrare efficienti. La velocità alla fine importa, ma l'accuratezza e il ragionamento importano più di ora. Un analista senior può insegnarti scorciatoie dopo; non possono facilmente disinsegnare cattive abitudini.

Settimane 6-8: Costruisci i tuoi Istinti di Playbook

A questo punto dovresti gestire i tipi di alert comuni — segnalazioni di phishing, tentativi di brute-force, esecuzione PowerShell sospetta — con meno supervisione. Inizia a notare i pattern che le regole di detection esistenti non catturano. Forse un alert particolare si attiva sempre su un backup job benigno. Forse una tecnica reale continua a sfuggire perché la logica della regola è troppo stretta. Porta queste osservazioni al tuo team; contribuire con suggerimenti di tuning così presto segnala iniziativa. Questo è anche il momento per familiarizzarsi con i lookup di threat intel di base — controllare IP, hash e domini rispetto a fonti come VirusTotal o la piattaforma di threat intel della tua organizzazione — e capire come quel contesto cambia la severità di un alert.

Settimane 9-12: Assumi la Proprietà e Chiedi Feedback

Nella fase finale, spingi per più autonomia nel tuo turno mentre continui a confermare le escalation prima di chiudere qualcosa di ambiguo. Inizia a tracciare le tue metriche informalmente: quanti alert hai gestito, quanti erano falsi positivi, quante volte hai dovuto riaprire qualcosa. Non è tanto provare produttività — è notare dove il tuo giudizio è solido e dove ha ancora bisogno di calibrazione.

Chiedi al tuo lead direttamente: "Cosa mi manca che un analista più esperto catturerebbe?" La maggior parte dei SOC lead rispetta una richiesta diretta di feedback molto più dell'incertezza silenziosa. Questo è anche un buon momento per identificare un interesse di specializzazione — detection engineering, threat hunting, incident response, malware analysis — perché il lavoro SOC apre molte porte, e mostrare curiosità per un percorso specifico aiuta a plasmare come il tuo manager ti assegna stretch work.

Abitudini che Vale la Pena Costruire dal Primo Giorno

Alcune cose ripagano indipendentemente dal tooling specifico o dal livello di maturità del tuo SOC:

• Scrivi note pulite, con timestamp su ogni investigation, anche quelle chiuse.
• Impara la topologia di rete, non solo i campi di log — sapere cosa dovrebbe comunicare con cosa rende le anomalie evidenti più velocemente.
• Pratica la scrittura di riassunti di incident che un manager non tecnico potrebbe capire; questa abilità aumenta nel corso della tua carriera.
• Rimani curioso sui falsi positivi — il tuning di detection cattive è spesso più prezioso che chiudere ticket velocemente.

I primi 90 giorni non riguardano il diventare un esperto. Riguardano la costruzione del giudizio, delle abitudini e delle relazioni che ti permettono di diventarlo nei prossimi anni.

Se vuoi affinare i fondamenti tecnici dietro il lavoro SOC — analisi di log, nozioni fondamentali di rete, o workflow di incident response — esplora i segmenti correlati Blue Team e Digital Forensics su Korra Studio.