Почему те, кто меняет карьеру, становятся хорошими SOC-аналитиками

Менеджеры по найму в SOC жалуются на одно и то же: слишком много кандидатов могут рассказать о тактиках MITRE ATT&CK, но теряются, когда перед ними появляется реальная очередь алертов. Между тем бывшая медсестра, учитель или руководитель магазина с полугодом практики в домашней лаборатории и сертификатом Security+ часто показывает лучший результат, чем выпускник четырехлетней программы по информационной безопасности, когда дело доходит до упражнения на триаж во время собеседования. Это не случайность. Это закономерность, которую стоит понять, если вы рассматриваете переход в Security Operations Center с нетехнической подготовкой.

Чем SOC-аналитик занимается весь день

Работу на уровнях 1 и 2 в SOC в основном составляет распознавание паттернов под давлением времени: проверка алертов в SIEM вроде Splunk или Microsoft Sentinel, определение того, какие из них важны, и написание чётких заметок для следующей смены или команды реагирования на инциденты. Это триаж. Вы отделяете сигнал от шума, час за часом, имея неполную информацию и очередь, которая никогда не заканчивается. Технические навыки (анализ логов, базовая автоматизация, понимание TCP/IP) можно освоить за месяцы. Решения в условиях давления — вот что отличает хорошего аналитика от посредственного, и именно такие навыки решений обычно приносят с собой те, кто меняет карьеру.

Передаваемые навыки, которые никто не указывает в объявлении о вакансии

Бывшая медсестра отделения неотложной помощи годами занимается триажем пациентов, решая, кому нужна помощь сейчас, а кто может подождать. Это та же мыслительная операция, которую SOC использует для приоритизации критического алерта среди двадцати малоинформативных. Бывший учитель управлял тридцатью непредсказуемыми переменными в одном классе и научился сохранять спокойствие, когда одновременно происходит три проблемы — это обычный вторник во второй половине дня в SOC во время фишинговой атаки. Бывший оператор колл-центра или специалист по рассмотрению исков уже развил навык распознавания выделяющегося случая среди сотни рутинных.

Сравните это с кем-то, кто только на занятиях учился концепциям безопасности. Они могут хорошо знать модель OSI, но никогда не принимали решение, когда заинтересованное лицо недовольно и время поджимает. Те, кто меняет карьеру, особенно из работы с клиентами или высокорисковых сфер (здравоохранение, авиация, службы экстренного реагирования, даже гостиничный бизнес), уже были проверены именно в такой ситуации.

Документирование и коммуникация дают больше результатов, чем кажется

Огромная и недооценённая часть работы в SOC — это написание текстов: tickets по инцидентам, заметки о передаче смены, резюме эскалаций для людей без вашей технической подготовки. Кто-то, кто пять лет писал медицинские карты, юридические заметки по делам или отчёты об инцидентах для клиентов, уже знает, как написать ясный, последовательный рассказ о том, что произошло, что они сделали и почему. Новичков в этой сфере иногда подводит именно это: они пишут заметки такие технические или такие размытые, что следующему аналитику приходится переделывать расследование с нуля. Если вы умеете писать