Why Career Changers Make Great SOC Analysts

ผู้จัดการการจ้างงาน SOC พูดซ้ำเดิมเรื่องเดียวกัน: ผู้สมัครจำนวนมากเก่งที่จะท่ององ MITRE ATT&CK tactics แต่กลัวเมื่อมีคิวแอลเার์ทจริง ๆ ลงมา ในขณะเดียวกัน อดีตพยาบาล ครู หรือผู้จัดการขายปลีกที่มีประสบการณ์ home-lab หกเดือนและ Security+ cert มักจะมีผลงานดีกว่าคนที่ออกมาจากโปรแกรมสารสนเทศความปลอดภัยสี่ปีในการทดสอบการคัดกรองในการสัมภาษณ์ นั่นไม่ใช่เรื่องบังเอิญ มันเป็นรูปแบบที่ควรเข้าใจถ้าคุณกำลังพิจารณาย้ายไปยัง Security Operations Center จากพื้นฐานที่ไม่ใช่เชิงเทคนิค

SOC analyst ทำงานอะไรตลอดวัน

งาน Tier 1 และ Tier 2 SOC เป็นการจดจำรูปแบบภายใต้ความกดดันเวลาเป็นหลัก: ตรวจสอบแอลเร็ทในระบบ SIEM เช่น Splunk หรือ Microsoft Sentinel ตัดสินใจว่าแอลเร็ทไหนมีความสำคัญ และเขียนบันทึกที่ชัดเจนสำหรับกะถัดไปหรือทีม incident response มันคือการคัดกรอง คุณจัดประเภทสัญญาณออกจากเสียงรบกวน ชั่วโมงต่อชั่วโมง ด้วยข้อมูลที่ไม่สมบูรณ์และคิวที่ไม่เคยจบ ทักษะด้านเทคนิค (การวิเคราะห์ log การเขียนสคริปต์พื้นฐาน ความเข้าใจ TCP/IP) สามารถเรียนรู้ได้ในไม่กี่เดือน การตัดสินใจภายใต้ความกดดันเป็นส่วนที่แยกแยะ analyst ที่ธรรมดาออกจากคนดี และการตัดสินใจนั้นคือสิ่งที่ผู้เปลี่ยนอาชีพมักจะนำมาด้วย

ทักษะที่สามารถนำไปใช้ได้ที่ไม่มีใครใส่ในประกาศสหการณ์

อดีตพยาบาล ER ใช้เวลาหลายปีในการคัดกรองผู้ป่วย ตัดสินใจว่าใครต้องการความสนใจตอนนี้เทียบกับใครที่สามารถรอได้ นั่นเป็นกล้ามเนื้อที่ใช้ความคิดเดียวกันกับที่ SOC ใช้เพื่อให้ความสำคัญกับแอลเร็ทที่สำคัญมากกว่าเลขรียว low-fidelity ยี่สิบตัว อดีตครูจัดการตัวแปรที่ไม่คาดเดาได้สามสิบตัวในห้องเรียนในครั้งเดียวและเรียนรู้ที่จะสงบเมื่อสิ่งสามสิ่งผิดพลาดไปพร้อม ๆ กัน ซึ่งเป็นบ่ายวันอังคารใน SOC ในช่วง phishing campaign อดีต call-center rep หรือ claims adjuster ได้สร้างทักษะการจดจำรูปแบบแล้วจากการหาบัตรที่ต่างออกไปในตรวจสอบหนึ่งร้อยใบตามปกติ

เปรียบเทียบกับคนที่มีแค่ความสัมผัสจากห้องเรียนกับแนวคิดความปลอดภัย พวกเขาอาจเข้าใจโมเดล OSI ได้ดีแต่ไม่เคยต้องตัดสินใจเมื่อ stakeholder รู้สึกไม่พอใจและนาฬิกากำลังเดิน ผู้เปลี่ยนอาชีพ โดยเฉพาะจากสาขาที่เกี่ยวข้องกับลูกค้าหรือเสี่ยงสูง (สาธารณสุข การบิน บริการฉุกเฉิน แม้แต่ด้านการโรงแรม) ได้ผ่านการทดสอบแล้วในสิ่งเดียวกัน

เอกสารและการสื่อสารชนะมากกว่าที่ผู้คนคาดหวัง

ส่วนที่ยิ่งใหญ่ขาดการยกย่องของงาน SOC คือการเขียน: incident tickets บันทึก shift handoff สรุปการบริหารสูงสำหรับผู้ที่ไม่มีพื้นฐานทางเทคนิคของคุณ คนที่ใช้เวลาห้าปีเขียน patient charts บันทึกคดีกฎหมาย หรือรายงาน customer incident ได้รู้แล้วว่าจะเขียนบัญชีที่ชัดเจนและเรียงลำดับเหตุการณ์ของสิ่งที่เกิดขึ้น สิ่งที่พวกเขาทำ และเหตุผล ผู้สมัครใหม่ในสาขานี้บางครั้งมีปัญหา ผลิตบันทึกที่มีความเป็นเทคนิคมากเกินไปหรือสลวยจนวิเคราะห์ครั้งต่อไปต้องทำการสอบสวนใหม่ ถ้าคุณเขียนได้