Чому люди, які змінюють кар'єру, стають чудовими аналітиками SOC

Менеджери з найму в SOC постійно скаржаться на одне й те саме: занадто багато кандидатів можуть повторити тактику MITRE ATT&CK, але замерзають, коли перед ними опиняється реальна черга сповіщень. Тим часом колишня медсестра, вчитель або менеджер роздрібного магазину з півроку практики в домашній лабораторії та сертифікатом Security+ часто працює краще за когось, хто йде прямо з чотирирічної програми infosec під час тренувального завдання на співбесіді. Це не випадкість. Це закономірність, яку варто розуміти, якщо ви вважаєте, чи робити стрибок у Security Operations Center з нетехнічного середовища.

Що аналітик SOC насправді робить весь день

Робота Tier 1 та Tier 2 у SOC — це переважно розпізнавання закономірностей під часовим тиском: аналіз сповіщень у SIEM як Splunk чи Microsoft Sentinel, вирішення того, які з них мають значення, і написання ясних нотаток для наступної зміни чи команди реагування на інциденти. Це тріаж. Ви відділяєте сигнал від шуму, години за годинами, з неповною інформацією та чергою, яка насправді ніколи не скорочується до нуля. Технічні навички (аналіз журналів, базові скрипти, розуміння TCP/IP) можна освоїти за кілька місяців. Рішення під тиском — це те, що відділяє посередника від хорошого аналітика, і саме такі рішення зазвичай приносять з собою люди, які змінюють кар'єру.

Навички, які переносяться, але ніхто не пише в оголошеннях про роботу

Колишня медсестра швидкої допомоги роки робила тріаж людських пацієнтів, вирішуючи, кому потрібна увага зараз, а хто може почекати. Це той самий когнітивний навик, який використовує SOC для пріоритизації критичного сповіщення серед двадцяти з низькою достовірністю. Колишній вчитель керував тридцятьма непередбачуваними змінними в кімнаті одночасно і навчився залишатися спокійним, коли три речі йдуть не так, що є звичайним вівторком у SOC під час фішингової кампанії. Колишній представник call-центру чи експерт із розгляду претензій вже розвинув навик розпізнавання закономірностей, щоб виявити незвичний тикет серед сотні стандартних.

Порівняйте це з кимось, у кого є лише навчальна експозиція до концепцій безпеки. Вони можуть знати модель OSI на ідеальному рівні, але ніколи не приймали рішення, коли зацікавлена сторона невдоволена і час біжить. Люди, які змінюють кар'єру, особливо з галузей, що мають контакт із клієнтами або високі ставки (охорона здоров'я, авіація, служби екстреної допомоги, навіть гостинність), вже були перевірені саме на цьому.

Документація та комунікація виграють більше, ніж люди очікують

Огромна, недооцінена частина роботи SOC — це написання: квитки про інциденти, нотатки про передачу змін, стислі опису для людей, які не мають вашого технічного рівня. Хтось, хто пять років писав медичні карти, юридичні матеріали справ або звіти про інциденти з клієнтами, вже знає, як написати ясний, хронологічний запис того, що сталося, що вони зробили і чому. Кандидати, нові в галузі, іноді мають труднощі тут, створюючи нотатки, які настільки технічні або настільки невизначені, що наступному аналітику доводиться повторювати розслідування з нуля. Якщо ви можете писати