O que um Analista SOC Tier 1 Realmente Faz o Dia Todo?

Anúncios de emprego para analista SOC Tier 1 são propositalmente vagos porque o papel é principalmente triagem repetitiva, e empresas sabem que "monitorar alertas e investigar incidentes" soa melhor do que a realidade. Aqui está como o trabalho é de dentro, ticket por ticket.

A fila nunca esvazia de verdade

Você inicia um turno e há uma fila de tickets, geralmente gerados por um SIEM como Splunk, Microsoft Sentinel ou QRadar. Cada ticket é um alerta: um login de um país inusitado, um pico no tráfego de saída, um arquivo correspondendo a uma regra YARA, uma conta de usuário bloqueada cinco vezes em dez minutos. Um SOC movimentado gera centenas desses por dia, e a maioria deles é problema de Tier 1 primeiro.

Você abre um ticket. Ele lhe dá um timestamp, um IP de origem, talvez um nome de usuário, e a regra que disparou. Seu trabalho é responder uma pergunta: isso é algo ou é nada? É isso. Você não está consertando nada ainda — você está decidindo se isso merece mais atenção.

Triagem é 90% coleta de contexto

Digamos que o alerta é "viagem impossível": um usuário fez login de Chicago e depois, 20 minutos depois, de Frankfurt. Antes de decidir qualquer coisa você puxa contexto:

• Verifique o padrão de login normal do usuário no SIEM — eles viajam a trabalho, usam VPN, têm um laptop que relata geolocalização de forma incorreta?
• Verifique se MFA foi satisfeito em ambos os logins, ou se o segundo usou um token em cache.
• Procure o IP de origem em algo como VirusTotal ou AbuseIPDB — é um nó de saída Tor conhecido, um provedor de VPN, um ISP residencial?
• Verifique com o usuário diretamente se o processo do seu SOC permitir — uma mensagem no Slack como "oi, você estava fazendo login da Alemanha por volta das 2 da tarde?" resolve metade desses tickets em uma resposta.

Na maioria das vezes é um cliente VPN trocando servidores ou um telefone sincronizando por LTE em um local estranho. Você escreve o que encontrou, marca como falso positivo e fecha o ticket. Esse é o trabalho, repetido 30-60 vezes por turno dependendo do volume do seu SOC e da sua velocidade.

Saber quando escalar — e escrever de forma que Tier 2 não tenha que refazer seu trabalho

A habilidade real não é detectar malware. É saber quando algo não se encaixa o suficiente para escalar, e escrever a escalação para que Tier 2 possa pegar sem refazer sua triagem do zero. Uma escalação ruim diz "login suspeito, por favor investigue." Uma boa diz:

Usuário: jsmith@company.com
Alerta: Viagem impossível (Chicago -> Frankfurt, 22 min de diferença)
MFA: Satisfeito em ambos os logins via notificação push
IP de origem (Frankfurt): 185.220.101.x — corresponde à lista conhecida de nós de saída Tor (pontuação AbuseIPDB 94)
Resposta do usuário: Nega ter viajado ou usado VPN; relata não ter recebido prompt MFA no segundo login (possível push fatigue?)
Recomendação: Escalar — possível compromisso de conta via spam de push MFA. Recomende reset forçado de senha e revogação de sessão.

Essa descrição levou talvez oito minutos mas economiza vinte de Tier 2. Tickets como este — onde o usuário nega a atividade e o IP está sinalizado — são os que realmente importam, e são talvez 5% da sua fila.

As ferramentas que você vai tocar a cada turno

Além do SIEM, espere viver em um punhado de ferramentas diariamente: um console EDR (CrowdStrike Falcon, SentinelOne, Defender for Endpoint) para verificar árvores de processos e isolar hosts se instruído, um sistema de tickets (ServiceNow, Jira) para rastrear seu trabalho, buscas de threat intel (VirusTotal, AbuseIPDB, urlscan.io) para verificações rápidas de IOC, e frequentemente um documento de runbook ou playbook que lhe diz exatamente quais passos seguir para cada tipo de alerta. O trabalho de Tier 1 é fortemente orientado por playbook de propósito — consistência importa mais do que improvisação neste nível.

Por que a repetição é na verdade o treinamento

A razão pela qual Tier 1 existe como um papel distinto, em vez de mandar cada alerta direto para analistas sêniors, é reconhecimento de padrões através de volume. Depois de alguns centenas de tickets de viagem impossível você começa a reconhecer a forma de um real versus uma troca de VPN rotineira antes de você ter até terminado de puxar contexto. Esse instinto não vem de um curso — vem de fazer a versão entediante do trabalho tempo suficiente para que o incidente real raro realmente se destaque.

Se você está mapeando um caminho para trabalho em blue team, Korra Studio tem segmentos sobre o básico de query SIEM, workflows de triagem de phishing, e o que separa responsabilidades de Tier 1 de Tier 2 na prática.