在 SOC 分析師的前 90 天中倖存下來

開始 SOC 分析師的工作既令人興奮又令人困惑。你會被賦予十幾個工具的存取權限、一堆待處理的警報，以及關於你應該多快捕獲真實威脅的模糊期望。前 90 天決定了你在該職位的整個職業軌跡，所以值得刻意應對，而不只是勉強度過。

第 1-2 週：先理解再行動

抗拒立即開始像資深人員一樣結束工單的衝動。早期你的工作是理解環境：正常流量看起來如何、哪些資產是重要資產、升級路徑是什麼，以及誰擁有什麼。即使 runbook 已過時，也要閱讀它們——過時的 runbook 會告訴你許多稍後需要填補的知識空白。

在 SIEM 中花時間查詢，而不是進行分級。熟悉為其提供數據的來源：防火牆日誌、EDR 遙測、DNS 日誌、身份驗證日誌。如果你不知道日誌來源的位置或如何規範化，現在就問。沒有人期望第一週就精通，早期提出的問題表明勤奮，而不是無能。

第 3-5 週：先跟隨，再在監督下進行分級

現在你開始處理真實警報，但要與資深分析師或明確的升級夥伴配對。專注於建立可重複的分級習慣：

• 確認警報正確觸發——檢查原始日誌，而不只是警報摘要。
• 建立背景資訊——這個資產是工作站、伺服器還是服務帳戶？其基線行為是什麼？
• 評估影響範圍——這是否涉及其他主機、其他帳戶、其他時間框架？
• 邊走邊記錄——你今天的筆記是他人在六個月後依賴的制度知識。

這個階段的常見錯誤是為了顯得有效率而過快結束警報。速度最終很重要，但現在準確性和推理更重要。資深分析師稍後可以教你捷徑；他們無法輕易改變不良習慣。

第 6-8 週：建立你自己的 Playbook 直覺

到現在為止，你應該能夠處理常見的警報類型——網路釣魚報告、暴力破解嘗試、可疑的 PowerShell 執行——所需的協助較少。開始注意現有檢測規則遺漏的模式。也許某個特定警報總是對良性備份工作觸發。也許真實技術不斷溜過去，因為規則邏輯過於狹隘。將這些觀察帶給你的團隊；早期提出調整建議表明主動性。這也是適應基本威脅情報查詢的時候——檢查 VirusTotal 或你組織的威脅情報平台中的 IP、雜湊值和域名——並理解該背景如何改變警報的嚴重性。

第 9-12 週：承擔責任並尋求反饋

在最後的衝刺中，在你的班次上爭取更多自主權，同時仍在結束任何模糊的內容之前確認升級。開始非正式地追蹤你自己的指標：你處理的警報數量、有多少是誤判、你必須重新開啟多少次。這不是為了證明生產力——這是為了注意你的判斷在哪些方面是紮實的，在哪些方面仍需要校準。

直接問你的主管：「更有經驗的分析師會發現什麼是我遺漏的？」大多數 SOC 主管對直接的反饋請求的尊重遠多於沉默的不確定性。這也是確認專業興趣的好時機——檢測工程、威脅狩獵、事件回應、惡意程式分析——因為 SOC 工作開啟許多方向，展示對特定路徑的好奇心有助於塑造你的經理如何分配你的挑戰性工作。

從第一天起就值得養成的習慣

無論你特定的 SOC 工具或成熟度如何，有幾件事都會有回報：

• 在每項調查上寫清晰的、有時間戳記的筆記，即使是已結束的調查。
• 了解網路拓撲，而不只是日誌欄位——知道什麼應該與什麼通信可以更快地發現異常。
• 練習編寫事件摘要，讓非技術經理也能理解；這項技能在整個職業生涯中都會複合增長。
• 對誤判保持好奇——調整不良檢測通常比快速結束工單更有價值。

前 90 天不是關於成為專家。它們是關於建立判斷力、習慣和關係，讓你在接下來的幾年中成為專家。

如果你想加強 SOC 工作背後的技術基礎——日誌分析、網路基礎知識或事件回應工作流——可以在 Korra Studio 上探索相關的 Blue Team 和 Digital Forensics 部分。