SOC Analyst

Поток и сроки у тебя уже в мышцах: пятьдесят-шестьдесят обращений в день, тикет-система, приоритеты, передача смены — на первой линии SOC это ровно тот же режим, и именно на нём ломаются те, кто пришёл из тихой работы. Ты уже разговариваешь с человеком, у которого всё встало и он злится. И ты знаешь, где в компании что стоит — домен, почта, VPN, средства защиты, — а это и есть те источники, чьи события ты будешь читать.

SIEM и язык поисковых запросов по событиям. Чтение журналов не для «почему не работает», а для «кто и что сделал». Сети глубже уровня «перезагрузите роутер»: TCP/IP, DNS, прокси, NAT. MITRE ATT&CK как словарь и типовые цепочки атак. И сменный график, если в поддержке его не было, — это отдельное решение, а не деталь.

Ты знаешь домен изнутри — с той стороны, с которой его и атакуют: групповые политики, права, репликация, откуда вообще берутся события входа. Половина срабатываний в любом SOC про учётки, службы и политики, и ты понимаешь, что в них нормально, а первая линия без твоего опыта выясняет это годами. Ты разбираешь по журналам, почему упал сервис и не работает вход, и почти наверняка пишешь скрипты, чтобы не повторять руками — на второй линии это идёт в дело сразу.

Взгляд с другой стороны на то, что ты настраиваешь своими руками: как выглядит в журналах ровно то же действие, сделанное не тобой. SIEM и корреляция событий, EDR, MITRE ATT&CK. И главное — не техника, а режим: работа по регламенту с нормативом на реакцию, без права «я быстро посмотрю сам», плюс смены. Отдельно и вслух: на входе это, скорее всего, просадка в деньгах на 6–12 месяцев.

Схема сети у тебя в голове, и ты находишь, где рвётся: VLAN, маршрутизация, NAT, VPN между офисами, дампы трафика. Сетевую половину срабатываний — сканирование, странные соединения, туннели, запросы DNS — ты понимаешь лучше среднего аналитика второй линии, и вопрос «а мог ли этот хост вообще туда дойти» закрываешь за минуту.

Хостовая сторона целиком: Windows и Active Directory, события входа, процессы, EDR — это половина работы, и её у тебя нет. SIEM как рабочее место. И привычка не докапываться до конца: на первой линии есть пятнадцать минут и плейбук, а не «пока не пойму».

Ты уже живёшь в потоке однотипных событий, из которых почти все пустые, и не уходишь: разбор подозрительных операций, ложные срабатывания правил, эскалация, сроки, отчётность. Это самая точная копия работы первой линии из всех неайтишных. Работа по регламенту в нештатной ситуации у тебя тоже есть, и ты знаешь банк изнутри — как устроены процессы и кто за что отвечает, а в информационной безопасности это дефицит.

Техническая база целиком: сети, Windows и Active Directory, Linux, командная строка, чтение журналов, SIEM. Это 6–12 месяцев занятий, и обойти их нельзя — вход на первую линию проверяют именно по ним. Зато то, на чём отсеиваются технари, у тебя уже закрыто.

Дежурная смена, сутки через трое, работа по инструкции и доклад по инциденту — это и есть устройство SOC, и ты уже знаешь, чего стоят ночи. Там, где вчерашний студент на третий месяц обнаруживает, что смены ему не подходят, ты это знаешь заранее — и работодателю это важно. Язык протокола, эскалации и журнала происшествий тебе объяснять не нужно.

Всё техническое: сети и протоколы, Windows и домен, Linux, чтение журналов, SIEM. Реально 6–12 месяцев подготовки при 10–20 часах в неделю. И одна вещь, о которой стоит знать заранее: здесь нет вертикали — старший смены не командир, а тот, к кому идут с вопросом, и решение обосновывают данными, а не докладывают.

Ты пишешь запросы, сводишь выгрузки и ищешь аномалии в цифрах — язык поиска по событиям это тот же навык, а SIEM с точки зрения работы это база с неудобной схемой и очень большими объёмами. Привычка к тому, что почти вся выборка окажется шумом, у тебя профессиональная. Ты умеешь объяснить бизнесу, почему цифра поехала, — на второй линии это половина отчётности, а скрипты для рутины идут в дело с первого месяца.

Понимание, откуда события вообще берутся: операционные системы, домен, сеть — без этого запрос получается красивый, а норма определяется наугад. MITRE ATT&CK и типовые цепочки атак. И режим: сменная работа с нормативом на реакцию вместо задачи на неделю.

Пост, дежурная смена, журнал происшествий, инструкция на каждый случай, доклад по инциденту — это буквально организация работы SOC, только источник событий другой. Ты уже держишь поток, в котором почти всё оказывается ничем, и знаешь, что расслабляться нельзя именно на двухсотом.

Вся техническая часть с нуля: как устроена сеть, что такое учётная запись и домен, командная строка, чтение журналов, SIEM. Это самый длинный из боковых входов — считай от 9 до 12 месяцев при 10–20 часах в неделю. Но он реальный: работодателю не придётся учить тебя смене и дисциплине, а этого он опасается больше всего.

Домашняя лаборатория с доменом, пройденные машины, райтапы, свой репозиторий со скриптами — это интерес с артефактом, и на собеседовании на первую линию он работает сильнее любого сертификата. Техники уже пройдены руками, а значит ты понимаешь, что именно ищет правило, которое перед тобой сработало.

Оборонительная сторона того же самого: как техника выглядит в журналах и телеметрии, а не в консоли атакующего. SIEM, EDR, плейбуки, разметка ложных срабатываний. И то, чего лаборатория не даёт вообще: чужая инфраструктура, где нельзя «просто посмотреть», норматив на реакцию и сто девяносто пустых срабатываний подряд — в CTF ни одна задача не бывает пустой, и это первое, обо что спотыкаются самоучки.