Security Analyst vs Security Engineer: Яка справжня різниця?

Ці назви використовуються як синоніми в оголошеннях про роботу, але повсякденна робота принципово різна. Якщо ви вибираєте напрямок для навчання, розуміння цієї різниці заощадить вам місяці погоні за не тими сертифікатами й навичками.

Чим насправді займається аналітик цілий день

Security analyst більшість часу спостерігає, сортує та розслідує. Це означає дивитися на SIEM (Splunk, Sentinel, QRadar), працювати з черговістю сигналів та вирішувати, чи є позначений процес на робочій станції хибнопозитивним або початком інциденту. Значна частина роботи — описати результати досить ясно, щоб менеджер або клієнт без security-фону розумів, що сталось.

Аналітики Tier 1 сортують сигнали. Аналітики Tier 2/3 копають глибше — витягують дерева процесів, перевіряють EDR телеметрію в CrowdStrike або Defender for Endpoint, корелюють логи у межах фаєрволів і identity providers, щоб побудувати послідовність подій. Робота за своєю природою реактивна: щось відбувається, ви з'ясовуєте, що це означає й що з цим робити.

Типовий список завдань аналітика: переглянути нічні сигнали, закрити хибнопозитивні з документованим обґрунтуванням, екскалювати підозрілу PowerShell-команду, оновити runbook після появи нового фішингового паттерну, взяти участь у call про інцидент. Це дослідницька й комунікаційна робота.

Що насправді будує інженер

Security engineer будує й підтримує системи, на які покладається аналітик. Це написання правил детекції в Sigma або KQL, настроювання SIEM, щоб він не затоплював чергу шумом, розгортання й конфігурування EDR-агентів на 5000 кінцевих точках, або автоматизація сценарію фішингової відповіді на платформі SOAR як Tines або Cortex XSOAR.

Інженери також працюють перед інцидентами: закріплення cloud-конфігурацій на AWS або Azure, налаштування мережевої сегментації, написання Terraform для забезпечення правил security groups, патчування CI/CD-конвеєрів, щоб секрети не потрапляли в git-історію. Багато інженерної роботи невидиме до моменту збою — ніхто не помічає добре налаштованого WAF-правила, але всі помічають, коли його немає.

Де аналітик запитує «що тут сталось», інженер запитує «як ми запобігнемо цьому класу речей або принаймні швидше його виявимо в наступний раз». Інженери пишуть код частіше — Python для автоматизації, іноді Go або Rust для інструментарію, YAML і Terraform для інфраструктури.

Навички, що справді розділяють два напрями

Аналітики потребують сильного розпізнавання паттернів, вільного володіння аналізом логів та здатності писати звіти про інциденти під часовим тиском. Інструменти: Splunk SPL, Wireshark, базовий triage малвару, MITRE ATT&CK-маппінг. Сертифікати, що добре підходять: Security+, CySA+, GCIH, іноді переходячи до GCFA для глибшої роботи з форензикою.

Інженери мають справді щось будувати: скриптинг (Python, Bash), infrastructure-as-code, інтеграція API між security-інструментами, і достатньо знань про системи й мережі, щоб знати, чому правило ламає production. Сертифікати тут тяжіють до GCED, cloud-сертифікатів (AWS Security Specialty, AZ-500) і врешті-решт OSCP, якщо роль має лиття наступального.

Перетин є реальним — хороший аналітик навчається писати власні запити для збагачення, а хороший інженер все ще повинен читати логи, щоб знати, чи справді спрацює їхня детекція. Але центр тяжіння різниться: аналітики живуть у черговості сигналів, інженери живуть у файлах конфігурації й репозиторіях коду.

Кар'єрні траєкторії й як люди переходять між ними

Більшість людей починають як аналітики, тому що SOC-ролі найняють більше посад початкового рівня й крива навчання навчає вас, що таке «нормально» в реальному середовищі. Цей фундамент важливий, навіть якщо ви врешті-решт хочете займатись інженерією.

Від аналітика Tier 1 типовий шлях — аналітик Tier 2/3, потім або threat hunter, або detection engineer, що є справжньою гібридною роллю, яка пише детекції на основі того, що аналітики пропустили в черговості. Звідти деякі переходять повністю до security engineering (будування платформ) або архітектури (проектування цілих security-програм).

Інженери іноді приходять зовсім іншими дверима — розробники ПО або системні адміністратори, які підбирають security-спеціалізацію замість того, щоб починати в SOC. Цей шлях пропускає фазу втоми від сигналів, але може залишити прогалини в інстинктах реагування на інциденти.

На чому вам варто зосередитися спочатку

Якщо вам подобається розслідування, написання й розгадування головоломок під тиском часу, починайте з аналітичної сторони. Якщо ви краще пишете код й вирішуєте кореневі причини, ніж переслідуєте сигнали, спрямуйтесь на інженерну сторону, але очікуйте, що вам знадобиться якась аналітично-суміжна досвід, щоб бути авторитетними — ніхто не довіряє детекції, яку ви побудували, якщо ви ніколи не працювали з черговістю сигналів.

Обидва шляхи врешті-решт сходяться на старших рівнях, де робота стає менше про назву й більше про розуміння цілої атакової поверхні. Korra Studio має сегменти про SOC-워크флови, написання SIEM-запитів і основи cloud-security engineering, варті вивчення, якщо ви хочете побачити повсякденний інструментарій для будь-якого напряму поблизу.