Analityk SOC Tier 2
Oceniaj alerty bezpieczeństwa, łącz dowody, dokumentuj zakres incydentu i uzgadniaj bezpieczne przekazanie sprawy.
Kompendium zawodu — pojęcia i zwroty
Pojęcia w pracy
- Alert
- Sygnał wymagający oceny na podstawie kontekstu i danych.
- Incydent bezpieczeństwa
- Zdarzenie lub powiązane zdarzenia kwalifikowane zgodnie z procesem organizacji.
- Korelacja
- Zestawienie zdarzeń ze wspólną tożsamością, zasobem lub przedziałem czasu.
- SIEM
- System gromadzenia i analizowania zdarzeń bezpieczeństwa.
- Ograniczenie skutków
- Uzgodniona reakcja mająca zmniejszyć wpływ incydentu na organizację.
Zwroty w typowych sytuacjach
- „Mam alert z dwóch źródeł, nadal potwierdzam zasięg.”
- Oddzielasz siłę sygnału od ustalonego zakresu.
- „W notatce rozróżniam obserwacje i hipotezy.”
- Ułatwiasz kolejnemu analitykowi ocenę dowodów.
- „Czy właściciel potwierdził plan ograniczenia skutków?”
- Sprawdzasz podstawę działania wpływającego na usługę.
Podstawy · Lekcja 1 z 6
Od alertu do sprawy
Alert zawiera sygnał, źródło i pewien kontekst. Sprawdź, której usługi dotyczy i kto ją obsługuje. Zapisz, co już potwierdziła pierwsza linia.
- Co zrobić najpierwOdczytaj alert
- Co zrobić dalejUstal zasób
- Jak zakończyćSprawdź wpływ
Przykład z pracy
Analityk otrzymuje alert o koncie i sprawdza, czy jest kontem pracownika, czy aplikacji.
Ćwiczenie praktyczne
Zapisz cztery pola potrzebne przy przejęciu alertu.
Sprawdź się — opcjonalne pytanie
Co warto ustalić przed oceną priorytetu?
- Kolor kafelka alertu
- Zasób, właściciela i możliwy wpływ
- Wyłącznie długość opisu
Pokaż odpowiedź i wyjaśnienie
Zasób, właściciela i możliwy wpływ. Kontekst zasobu pomaga nadać priorytet adekwatny do wpływu.
Podstawy · Lekcja 2 z 6
Znaczniki czasu i źródła
Ujednolić znaczniki można przez zapis w jednej strefie czasu przy zachowaniu wartości źródłowych. Rozróżnij czas zdarzenia od czasu jego przyjęcia. Zestaw zapisy zgodne z zakresem uprawnień.
- Co zrobić najpierwZbierz czasy
- Co zrobić dalejUstal wspólną strefę
- Jak zakończyćOdtwórz kolejność
Przykład z pracy
Źródło przesyła zdarzenia z opóźnieniem i alert pojawia się dopiero po zakończeniu prac.
Ćwiczenie praktyczne
Ułóż oś czasu z wpisu systemu, alertu i zgłoszenia.
Zmiana uprawnień przypada na okno serwisowe
Alert dotyczy konta używanego przez zespół utrzymania. Kalendarz zawiera prace w tym czasie, ale wykaz zasobów nie wskazuje tej usługi.
Pokaż przykładową reakcję
Potwierdzam właściciela i zakres zmiany oraz porównuję niezależne zdarzenia. Oceniasz prawdopodobne wyjaśnienie na podstawie dowodów i zapisujesz pozostałe luki.
Sprawdź się — opcjonalne pytanie
Co pomaga poprawnie ustalić kolejność?
- Kolejność otwarcia kart
- Data utworzenia konta
- Czas zdarzenia ze strefą i informacja o opóźnieniu źródła
Pokaż odpowiedź i wyjaśnienie
Czas zdarzenia ze strefą i informacja o opóźnieniu źródła. Rozróżnienie chwil eliminuje pozorną niespójność.
Praca krok po kroku · Lekcja 3 z 6
Powiązanie zdarzeń i zasięg
Szukaj wspólnej tożsamości, hosta i rodzaju zmiany. Opisz, gdzie masz dowód, a gdzie wyłącznie możliwe powiązanie. Sprawdź luki w pokryciu źródeł.
- Co zrobić najpierwPorównaj źródła
- Co zrobić dalejWskaż powiązania
- Jak zakończyćZapisz luki
Przykład z pracy
Dwa alerty dotyczą jednej usługi, lecz tylko jeden ma potwierdzony związek z daną zmianą uprawnień.
Ćwiczenie praktyczne
Rozdziel dowody wspólne, różnice i obszary bez telemetrii.
Sprawdź się — opcjonalne pytanie
Co odróżnia obserwację od hipotezy?
- Obserwację wspiera zapis ze wskazanego źródła
- Hipoteza zawsze jest sprzeczna z dowodami
- Obserwacja nie wymaga odnotowania czasu
Pokaż odpowiedź i wyjaśnienie
Obserwację wspiera zapis ze wskazanego źródła. Ocenę można kontynuować, jeśli wiadomo, co faktycznie zaobserwowano.
Praca krok po kroku · Lekcja 4 z 6
Priorytet i przekazanie
Uwzględnij ważność usługi, przewidywany wpływ oraz pewność ustaleń. Nie czekaj z przekazaniem istotnej sprawy na komplet informacji. Wskaż, co zespół ma rozstrzygnąć jako następne.
- Co zrobić najpierwOceń wpływ
- Co zrobić dalejZbierz dowody
- Jak zakończyćPrzekaż pytanie
Przykład z pracy
Zespół wyżej kwalifikuje sprawę na krytycznym zasobie, a notatka odróżnia podejrzenie od potwierdzenia.
Ćwiczenie praktyczne
Przygotuj komunikat do zespołu reagowania z oceną wpływu i luką.
Sprawdź się — opcjonalne pytanie
Jak wygląda użyteczna eskalacja?
- Ma tylko identyfikator alertu
- Zawiera dowody, wpływ, luki i następną decyzję
- Zawiera wszystkie niepowiązane komunikaty
Pokaż odpowiedź i wyjaśnienie
Zawiera dowody, wpływ, luki i następną decyzję. Odbiorca może ocenić pilność i podjąć dalszą pracę.
Trudniejsze sytuacje · Lekcja 5 z 6
Ograniczenie skutków i ciągłość
Sprawdź zakres dopuszczalnej reakcji oraz skutki uboczne dla użytkowników. Uzgodnij decyzję i sposób jej cofnięcia z właścicielem usługi. Zachowuj dowody zgodnie z procesem.
- Co zrobić najpierwUstal uprawnienia
- Co zrobić dalejOceń skutki
- Jak zakończyćPotwierdź reakcję
Przykład z pracy
Wyłączenie tożsamości aplikacji może zatrzymać przetwarzanie dokumentów w kilku działach.
Ćwiczenie praktyczne
Opisz, jak uzgodnisz działanie ograniczające ryzyko i odbiór usługi.
Sprawdź się — opcjonalne pytanie
Co trzeba rozważyć przed działaniem wpływającym na usługę?
- Wyłącznie łatwość wykonania
- Najszybsze zamknięcie zgłoszenia
- Uprawnienie, skutki, dowody i sposób powrotu
Pokaż odpowiedź i wyjaśnienie
Uprawnienie, skutki, dowody i sposób powrotu. Działanie chroni środowisko, uwzględniając konsekwencje dla pracy.
Trudniejsze sytuacje · Lekcja 6 z 6
Wnioski i jakość reguły
Po zamknięciu sprawy przejrzyj jakość alertu, szybkość decyzji i brakujące dane. Zaproponuj poprawę wraz z oceną przypadków, które nadal powinny zostać wykryte.
- Co zrobić najpierwOdtwórz sprawę
- Co zrobić dalejWskaż zmianę
- Jak zakończyćSprawdź efekt
Przykład z pracy
Reguła zgłasza uzgodnione zmiany, lecz podobny sygnał poza oknem wymaga uwagi.
Ćwiczenie praktyczne
Zaproponuj zmianę kontekstu alertu oraz dwa warunki odbioru.
Sprawdź się — opcjonalne pytanie
Co sprawdzasz po zmianie reguły?
- Czy ogranicza szum i nadal sygnalizuje potrzebne zdarzenia
- Czy ma krótszą nazwę
- Czy każdy wcześniejszy alert znika
Pokaż odpowiedź i wyjaśnienie
Czy ogranicza szum i nadal sygnalizuje potrzebne zdarzenia. Usprawnienie powinno zachować istotną zdolność wykrywania.