在 SOC 分析师岗位的前 90 天中存活下来

开始 SOC 分析师的工作既令人兴奋又令人困惑。你会获得对十多个工具的访问权限、一堆告警队列，以及关于你应该多快捕获真正威胁的模糊期望。前 90 天为你在这个岗位的整个职业生涯奠定了基础，所以值得有意识地对待它们，而不仅仅是坚持下去。

第 1-2 周：先吸收，再行动

抵制立即像资深分析师一样关闭工单的冲动。早期，你的工作是理解环境：正常流量是什么样的，哪些资产是关键资产，升级路径是什么，以及谁拥有什么。即使过时也要阅读 runbook——过时的 runbook 会告诉你许多你以后需要填补的知识空白。

花时间在 SIEM 中查询，而不是分类。熟悉输入给它的数据源：防火墙日志、EDR 遥测、DNS 日志、身份验证日志。如果你不知道日志源的位置或它是如何规范化的，现在就问。没有人会期望你在第一周就精通，早期提出的问题表现出认真，而不是无能。

第 3-5 周：在监督下跟随，然后进行分类

这是你开始处理真实告警的时候，但要与资深分析师或明确的升级联系人配对。专注于建立可重复的分类习惯：

• 确认告警触发正确 ——检查原始日志，而不仅仅是告警摘要。
• 建立上下文 ——这个资产是工作站、服务器还是服务账户？它的基线行为是什么？
• 评估影响范围 ——这是否影响了其他主机、其他账户、其他时间范围？
• 边走边记录 ——你今天的笔记是六个月后其他人依赖的制度知识。

此阶段的一个常见错误是快速关闭告警以显得高效。速度最终很重要，但准确性和推理现在更重要。资深分析师稍后可以教你快捷方式；他们不能轻易改正坏习惯。

第 6-8 周：建立你自己的 Playbook 直觉

到现在，你应该能够处理常见的告警类型——钓鱼报告、暴力破解尝试、可疑的 PowerShell 执行——所需的指导较少。开始注意现有检测规则遗漏的模式。也许某个特定告警总是在良性备份作业上触发。也许真实的技术不断通过，因为规则逻辑太狭隘。将这些观察提交给你的团队；这个阶段早期贡献调优建议表现出了主动性。这也是时候开始熟悉基本的威胁情报查询——针对 VirusTotal 或你组织的威胁情报平台等来源检查 IP、哈希和域名——并理解该上下文如何改变告警的严重性。

第 9-12 周：承担责任并寻求反馈

在最后阶段，在仍然确认任何模棱两可的升级后，争取在你的班次上获得更多自主权。开始非正式地跟踪你自己的指标：你处理的告警数量、有多少是误报、你必须重新打开的频率。这不是为了证明生产力——这是为了注意到你的判断在哪里是坚实的，以及在哪里仍需要校准。

直接问你的主管：