Security Analyst vs Security Engineer: Care-i diferența reală?

Titlurile sunt aruncate ca și cum ar fi interschimbabile în ofertele de locuri de muncă, dar munca zilnică este cu adevărat diferită. Dacă alegi o direcție de studiu, înțelegerea acestei diferențe te va salva de luni în urmărirea certificatelor și abilităților greșite.

Ce face de fapt un analyst tot ziua

Un security analyst petrece majoritatea timpului privind, triajând și investigând. Asta înseamnă să te uiți la un SIEM (Splunk, Sentinel, QRadar), să lucrezi cu cozi de alerte și să decizi dacă un proces marcat pe o stație de lucru este o alarmă falsă sau începutul unui incident. O parte mare a jobului este redactarea constatărilor clar suficient ca un manager sau un client fără experiență în securitate să înțeleagă ce s-a întâmplat.

Analyștii Tier 1 fac triaj. Analiștii Tier 2/3 sapă mai adânc — extrag arbori de procese, verifică telemetria EDR în ceva de genul CrowdStrike sau Defender for Endpoint, corelează jurnalele din firewall-uri și furnizorii de identitate pentru a construi o cronologie. Jobul este reactiv prin natură: ceva se întâmplă, tu înțelegi ce înseamnă și ce trebuie să faci în legătură cu asta.

O listă de sarcini tipică pentru un analyst: revizuiești alerte din noaptea trecută, închizi alarmele false cu motivare documentată, escaladezi o execuție suspectă de PowerShell, actualizezi un runbook după ce apare un nou model de phishing și participi la o apel de incident. Este o muncă investigativă și care necesită multă comunicare.

Ce construiește de fapt un engineer

Un security engineer construiește și menține sistemele pe care analystul se bazează. Asta înseamnă a scrie reguli de detectare în Sigma sau KQL, a acorda reglaje unui SIEM ca să nu inunde coada cu zgomot, a implementa și configura agenți EDR pe 5.000 de endpoint-uri, sau a automatiza un playbook de răspuns la phishing într-o platformă SOAR ca Tines sau Cortex XSOAR.

Engineerii lucrează și în amonte de incidente: întărirea configurațiilor cloud în AWS sau Azure, configurarea segmentării rețelei, scrierea Terraform pentru a impune reguli ale grupurilor de securitate, corectarea conductelor CI/CD ca secretele să nu ajungă în istoricul git. O mare parte din munca de engineering este invizibilă până se defectează — nimeni nu observă o regulă WAF bine configurată, dar toți observă când lipsește.

Unde un analyst se întreabă "ce s-a întâmplat aici", un engineer se întreabă "cum oprim clasa asta de lucruri să se întâmple, sau măcar o descoperim mai repede data viitoare". Engineerii scriu cod mai des — Python pentru automatizare, uneori Go sau Rust pentru instrumente, YAML și Terraform pentru infrastructură.

Abilități care cu adevărat separă cei doi

Analyștii au nevoie de recunoaștere puternică a modelelor, fluență în analiza jurnalelor și capacitatea de a scrie rapoarte de incident sub presiune de timp. Instrumente: Splunk SPL, Wireshark, triaj de bază a malware-ului, mapare MITRE ATT&CK. Certificatele care se aliniază bine: Security+, CySA+, GCIH, uneori trecând la GCFA pentru o muncă mai profundă de forensică.

Engineerii trebuie să construiască efectiv lucruri: scripting (Python, Bash), infrastructură-ca-cod, integrare API între instrumente de securitate și suficientă cunoaștere de sisteme și rețea pentru a ști de ce o regulă strică producția. Certificatele aici tind către GCED, certificate de securitate în cloud (AWS Security Specialty, AZ-500) și în final OSCP dacă rolul pânchează spre ofensiv.

Suprapunerea este reală — un bun analyst învață să-și scrie propriile interogări de îmbogățire, și un bun engineer are încă nevoie să citească jurnale pentru a ști dacă detecția lui se declanșează efectiv. Dar centrul de greutate diferă: analiștii trăiesc în coada de alerte, engineerii trăiesc în fișierele de configurare și depozitele de cod.

Cariere și cum se mișcă oamenii între ele

Majoritatea oamenilor încep ca analyști deoarece rolurile SOC angajează mai multe poziții de nivel de intrare și curba de învățare te învață ce înseamnă "normal" într-un mediu real. Această fundație contează chiar dacă eventual vrei să faci inginerie.

De la analyst Tier 1, o cale comună este analyst Tier 2/3, apoi fie threat hunter, fie detection engineer, care este un rol hibrid real care scrie detecții pe baza a ceea ce analiștii vad pierdut în coadă. De acolo, unii se mișcă complet în ingineria de securitate (construind platforme) sau arhitectură (proiectând programe de securitate întregi).

Engineerii uneori vin dintr-o ușă cu totul diferită — dezvoltatori de software sau sysadmin-uri care iau o specializare în securitate mai degrabă decât pornesc într-un SOC. Acel drum sare peste faza oboselii de alerte, dar poate lăsa lacune în instinctele de răspuns la incident.

Pe care ar trebui să te aimi mai întâi

Dacă îți plac investigația, scrierea și rezolvarea puzzle-urilor sub presiune, începe pe partea analystului. Dacă ai prefera să scrii cod și să remediezi cauzele rădăcinii mai degrabă decât să urezi alerte, vânează partea engineer-ului, dar așteptă-te să ai nevoie de o oarecare experiență asemănătoare analystului pentru a fi credibil — nimeni nu se încrede într-o detecție pe care ai construit-o dacă nu ai lucrat niciodată la o coadă de alerte.

Ambele căi converg în final la niveluri superioare, unde jobul devine mai puțin despre titlu și mai mult despre înțelegerea întregii suprafețe de atac. Korra Studio are segmente despre fluxuri de lucru SOC, scrierea de interogări SIEM și fundamentele ingineriei de securitate în cloud care merită explorate dacă vrei să vezi instrumentele zilnice pentru ambele căi din aproape.