Wat doet een SOC Tier 1 analist eigenlijk de hele dag?

Vacatureposten voor SOC Tier 1 analist zijn opzettelijk vaag omdat de rol grotendeels repetitieve triage is, en bedrijven weten dat "monitoring van alerts en onderzoek van incidenten" beter klinkt dan de werkelijkheid. Hier is hoe het werk eruit ziet van binnenuit, ticket voor ticket.

De wachtrij wordt eigenlijk nooit leeg

Je begint een shift en er is een wachtrij van tickets, meestal gegenereerd door een SIEM zoals Splunk, Microsoft Sentinel, of QRadar. Elk ticket is één alert: een login uit een ongebruikelijk land, een piek in uitgaand verkeer, een bestand dat overeenkomt met een YARA-regel, een gebruikersaccount dat vijf keer in tien minuten wordt vergrendeld. Een drukke SOC genereert er honderd per dag, en de meeste zijn eerst het probleem van Tier 1.

Je opent een ticket. Het geeft je een timestamp, een bron-IP, misschien een gebruikersnaam, en de regel die is geactiveerd. Je taak is één vraag beantwoorden: is dit iets, of is dit niets? Dat is het. Je lost niets op — je besluit of dit meer aandacht verdient.

Triage is 90% contextgegevensverzameling

Zeg dat de alert "impossible travel" is: een gebruiker is ingelogd vanuit Chicago en vervolgens, 20 minuten later, vanuit Frankfurt. Voordat je iets besluit verzamel je context:

• Controleer het normale inlogpatroon van de gebruiker in de SIEM — reizen zij voor werk, gebruiken zij een VPN, hebben zij een laptop die geolocatie verkeerd rapporteert?
• Controleer of MFA op beide inlogs was ingesteld, of de tweede gebruikte een gecached token.
• Zoek het bron-IP op in iets als VirusTotal of AbuseIPDB — is het een bekend Tor exit node, een VPN-provider, een residentieel ISP?
• Neem direct contact op met de gebruiker als het proces van je SOC dat toestaat — een Slack-bericht als "hé, ben je rond 2 uur vanuit Duitsland ingelogd?" lost de helft van deze tickets in één antwoord op.

Meestal is het een VPN-client die van server wisselt of een telefoon die over LTE synchroniseert op een vreemde locatie. Je schrijft op wat je hebt gevonden, markeert het als false positive, en sluit het ticket. Dat is het werk, herhaald 30-60 keer per shift afhankelijk van het volume van je SOC en je snelheid.

Weten wanneer je moet escaleren — en het opschrijven zodat Tier 2 jouw werk niet opnieuw hoeft te doen

De echte vaardigheid is niet het herkennen van malware. Het is weten wanneer iets niet klopt genoeg om te escaleren, en de escalatie opschrijven zodat Tier 2 deze kan oppakken zonder je triage helemaal opnieuw te doen. Een slechte escalatie zegt "verdacht inloggen, alstublieft onderzoeken." Een goede zegt:

Gebruiker: jsmith@company.com
Alert: Impossible travel (Chicago -> Frankfurt, 22 min uit elkaar)
MFA: Ingesteld op beide inlogs via push notification
Bron-IP (Frankfurt): 185.220.101.x — komt overeen met bekend Tor exit node-lijst (AbuseIPDB score 94)
Gebruikersrespons: Ontkent te reizen of VPN te gebruiken; rapporteert geen MFA-prompt ontvangen voor tweede login (mogelijke push-vermoeidheid?)
Aanbeveling: Escaleer — mogelijke accountcompromis via MFA push-spam. Aanbevolen geforceerd wachtwoordreset en sessie intrekking.

Dat opschrift duurde misschien acht minuten maar bespaart Tier 2 twintig. Tickets als deze — waarbij de gebruiker de activiteit ontkent en het IP is gemarkeerd — zijn degene die echt uitmaken, en ze zijn misschien 5% van je wachtrij.

De tools die je elke shift aanraakt

Buiten de SIEM, verwacht jezelf dagelijks in een handvol tools door te brengen: een EDR-console (CrowdStrike Falcon, SentinelOne, Defender for Endpoint) om procesbomen te controleren en hosts te isoleren als je dat wordt opgedragen, een ticketingsysteem (ServiceNow, Jira) om je werk bij te houden, threat intel-zoekingen (VirusTotal, AbuseIPDB, urlscan.io) voor snelle IOC-controles, en vaak een runbook of playbook-document dat je exact vertelt welke stappen je volgt voor elk alerttype. Tier 1-werk is opzettelijk sterk playbook-gestuurd — consistentie is op dit niveau belangrijker dan improvisatie.

Waarom de herhaling eigenlijk de training is

De reden dat Tier 1 als een aparte rol bestaat, in plaats van elke alert direct naar senior analisten te gooien, is patroonherkenning door volume. Na een paar honderd impossible-travel-tickets herken je de vorm van er een echte tegenover een routineuze VPN-switch voordat je helemaal klaar bent met het verzamelen van context. Die instinct komt niet uit een cursus — het komt uit het lange genoeg doen van de saaie versie van het werk zodat het zeldzame echte incident echt opvalt.

Als je een weg in blue team-werk in kaart brengt, heeft Korra Studio segmenten over SIEM-querybeginselen, phishing triage-workflows, en wat Tier 1 onderscheidt van Tier 2-verantwoordelijkheden in de praktijk.