SOC Tier 1 분석가는 하루 종일 정확히 뭘 하나?

SOC Tier 1 분석가 채용공고가 애매모호한 이유는 그 역할이 대부분 반복적인 분류 작업이고, 기업들은 "경고 모니터링 및 사건 조사"가 현실보다 낫게 들린다는 걸 알기 때문이다. 티켓 하나씩 보면서 안쪽에서 그 업무가 어떻게 보이는지 살펴보자.

큐는 절대 비워지지 않는다

교대 근무를 시작하면 티켓 큐가 있다. 보통 Splunk, Microsoft Sentinel, QRadar 같은 SIEM이 생성한다. 각 티켓은 하나의 경고다: 평소와 다른 나라에서의 로그인, 아웃바운드 트래픽 급증, YARA 규칙과 일치하는 파일, 10분 안에 5번 잠긴 사용자 계정. 바쁜 SOC는 하루에 이런 경고를 수백 개 생성하고, 대부분은 Tier 1의 몫부터 시작된다.

티켓을 연다. 타임스탬프, 소스 IP, 아마도 사용자 이름, 그리고 어느 규칙이 발동했는지가 나온다. 너의 일은 한 가지 질문에 답하는 것: 이게 뭔가인가, 아니면 아무것도 아닌가? 그게 다다. 아직 뭔가를 고치는 게 아니라 이게 더 관심을 받을 가치가 있는지 판단하는 거다.

분류는 90% 정보 수집

경고가 "불가능한 이동"이라고 하자: 사용자가 시카고에서 로그인했다가 20분 뒤 프랑크푸르트에서 또 로그인했다. 뭔가를 판단하기 전에 정보를 모은다:

• SIEM에서 그 사용자의 평상시 로그인 패턴을 확인한다 — 일 때문에 여행하거나 VPN을 쓰거나, 위치를 잘못 보고하는 랩톱을 가지고 있나?
• 두 로그인 모두 MFA를 만족했는지, 아니면 두 번째가 캐시된 토큰을 썼는지 확인한다.
• VirusTotal이나 AbuseIPDB 같은 곳에서 소스 IP를 찾아본다 — Tor 나가기 노드, VPN 제공자, 개인 ISP인가?
• SOC의 프로세스가 허락하면 사용자에게 직접 물어본다 — Slack 메시지 "오후 2시쯤 독일에서 로그인했어?" 같은 건 이런 티켓의 절반을 한 번에 해결한다.

대부분은 VPN 클라이언트가 서버를 바꾸거나 휴대폰이 이상한 위치에서 LTE로 동기화된 것이다. 발견한 내용을 정리하고, 거짓 양성으로 표시하고, 티켓을 닫는다. 그게 일이고, SOC의 양과 너의 속도에 따라 교대 근무당 30~60번 반복된다.

에스컬레이션 시기를 아는 것 — 그리고 Tier 2가 너의 일을 다시 할 필요 없게 작성하기

진짜 스킬은 악성코드를 찾는 게 아니다. 뭔가 맞지 않아서 에스컬레이션할 때를 알고, Tier 2가 너의 분류를 처음부터 다시 안 해도 되게 에스컬레이션을 작성하는 거다. 나쁜 에스컬레이션은 "의심스러운 로그인, 조사 부탁합니다"라고 한다. 좋은 에스컬레이션은:

User: jsmith@company.com
Alert: Impossible travel (Chicago -> Frankfurt, 22 min apart)
MFA: Satisfied on both logins via push notification
Source IP (Frankfurt): 185.220.101.x — matches known Tor exit node list (AbuseIPDB score 94)
User response: Denies traveling or using VPN; reports no MFA prompt received for second login (possible push fatigue?)
Recommendation: Escalate — possible account compromise via MFA push spam. Recommend forced password reset and session revocation.

그 정리는 8분 정도 걸렸지만 Tier 2한테 20분을 준다. 사용자가 활동을 부인하고 IP가 플래그된 이런 티켓이 실제로 중요한 것이고, 너의 큐의 5% 정도다.

매 교대 근무마다 만질 도구들

SIEM 말고도, 매일 몇 가지 도구에서 살 준비를 해라: 프로세스 트리를 확인하고 지시받으면 호스트를 격리하기 위한 EDR 콘솔(CrowdStrike Falcon, SentinelOne, Defender for Endpoint), 일을 추적하기 위한 티켓팅 시스템(ServiceNow, Jira), 빠른 IOC 체크를 위한 위협 정보 조회(VirusTotal, AbuseIPDB, urlscan.io), 그리고 종종 각 경고 유형에 정확히 어떤 단계를 따를지 알려주는 런북이나 플레이북 문서. Tier 1 업무는 의도적으로 플레이북 중심인데, 이 수준에서는 일관성이 즉흥성보다 중요하기 때문이다.

반복이 실제로 훈련인 이유

Tier 1이 별도의 역할로 존재하는 이유는, 모든 경고를 시니어 분석가한테 바로 던지는 대신, 양을 통한 패턴 인식이다. 몇 백 개의 불가능한 이동 티켓을 본 뒤에는, 정보 수집을 다 끝내기 전에도 진짜인 것과 일상적인 VPN 전환의 모양을 알아보기 시작한다. 그 감각은 강좌에서 오는 게 아니라 지루한 일을 오래 해서 드문 진짜 사건이 실제로 튀어 보일 때까지의 경험에서 온다.

Blue team 경로를 계획 중이라면, Korra Studio가 SIEM 쿼리 기초, 피싱 분류 워크플로우, 그리고 Tier 1과 Tier 2 책임의 실제 차이가 뭔지에 대한 세그먼트를 가지고 있다.