Как пережить первые 90 дней работы аналитиком SOC

Начать работу аналитиком SOC одновременно и волнующе, и дезориентирующе. Вам дают доступ к дюжине инструментов, очередь алертов и расплывчатые ожидания относительно того, как быстро вы должны ловить реальные угрозы. Первые 90 дней определяют траекторию всей вашей карьеры в этой должности, поэтому стоит подойти к ним продуманно, а не просто пережить их.

Недели 1–2: сначала поймите, потом действуйте

Сопротивляйтесь желанию сразу же начать закрывать тикеты как ветеран. В начале ваша работа — понять окружение: как выглядит нормальный трафик, какие ассеты критичны, какой путь эскалации, кто за что отвечает. Читайте runbook'и, даже если они устарели — устаревшие runbook'и многое говорят о пробелах в неформальных знаниях, которые вам нужно будет заполнить позже.

Проводите время в SIEM только на запросах, не на сортировке алертов. Привыкайте к источникам данных, которые его питают: логи firewall, телеметрия EDR, логи DNS, логи аутентификации. Если вы не знаете, где находится источник логов или как он нормализуется, спросите сейчас. На неделе первой никто не ожидает хорошего владения, и вопросы, заданные рано, воспринимаются как добросовестность, а не некомпетентность.

Недели 3–5: наблюдайте, затем сортируйте под присмотром

Это момент, когда вы начинаете работать с реальными алертами, но в паре с опытным аналитиком или с ясным коллегой-контактом для эскалации. Сосредоточьтесь на выработке повторяемой привычки сортировки:

• Подтвердите, что алерт сработал правильно — проверьте сырой лог, не только сводку алерта.
• Установите контекст — это рабочая станция, сервер, служебный аккаунт? Какое его обычное поведение?
• Оцените масштаб — затронуло ли это другие хосты, другие аккаунты, другие временные периоды?
• Документируйте по ходу — ваши заметки сегодня — это знания, на которые кто-то опирается через полгода.

Частая ошибка на этом этапе — закрывать алерты слишком быстро, чтобы выглядеть продуктивным. Скорость важна позже, но точность и логика важнее прямо сейчас. Опытный аналитик научит вас ярлыкам позже; они не могут легко переучить плохие привычки.

Недели 6–8: развивайте свое чутье на playbook'и

К этому моменту вы должны работать с типичными алертами — отчеты о фишинге, попытки перебора пароля, подозрительное выполнение PowerShell — с меньшей поддержкой. Начните замечать закономерности, которые упускают существующие правила обнаружения. Может быть, конкретный алерт всегда срабатывает на безопасной работе резервного копирования. Может быть, реальная техника постоянно проскальзывает, потому что логика правила слишком узкая. Донесите эти наблюдения до вашей команды; внесение предложений по настройке так рано сигнализирует об инициативности. Это также хороший момент, чтобы освоиться с базовыми поисками по threat intel — проверкой IP, хешей и доменов по источникам, таким как VirusTotal или платформе threat intel вашей организации — и понять, как этот контекст меняет серьезность алерта.

Недели 9–12: возьмите ответственность и запросите обратную связь

В заключительный период добивайтесь большей автономии на вашей смене, но все еще подтверждайте эскалации перед закрытием чего-то неясного. Начните неформально отслеживать ваши метрики: сколько алертов вы обработали, сколько были ложными срабатываниями, как часто вам приходилось перепроверять. Это не о доказывании продуктивности — это о понимании того, где ваше суждение твердое и где оно нуждается в корректировке.

Попросите напрямую у вашего руководителя: «Что я упускаю, что заметил бы более опытный аналитик?» Большинство руководителей SOC намного больше уважают прямой запрос обратной связи, чем молчаливую неуверенность. Это также хороший момент для определения интересующей вас специализации — detection engineering, threat hunting, incident response, анализ вредоносного ПО — потому что работа в SOC открывает много дверей, и демонстрация интереса к конкретному направлению помогает руководителю назначать вам работу на развитие.

Привычки, стоящие того, чтобы вырабатывать с первого дня

Несколько вещей окупают себя независимо от инструментов или зрелости вашего конкретного SOC:

• Пишите чистые заметки с временными метками по каждому расследованию, даже закрытым.
• Изучите топологию сети, не только поля логов — знание того, что должно взаимодействовать, делает аномалии очевидными быстрее.
• Практикуйтесь писать сводки инцидентов, которые понял бы менеджер без технического образования; этот навык окупает себя на протяжении всей вашей карьеры.
• Оставайтесь любопытными в отношении ложных срабатываний — настройка плохих обнаружений часто ценнее, чем быстрое закрытие тикетов.

Первые 90 дней — не о том, чтобы стать экспертом. Они о выработке суждения, привычек и отношений, которые дают вам возможность стать экспертом в течение следующих нескольких лет.

Если вы хотите усилить технические основы работы в SOC — анализ логов, основы сетей или рабочие процессы реагирования на инциденты — изучите соответствующие разделы Blue Team и Digital Forensics на Korra Studio.