Из аналитика L1 — в ...

📢 Привет! Я Казаков Иван, аналитик L2 в направлении мониторинга и реагирования на компьютерные инциденты.

Мой путь начался с роли младшего оператора первой линии в SOC. Тогда основная задача заключалась в анализе инцидентов и эскалации при обнаружении атаки или нестандартной активности.
Но чем глубже я погружался в процессы, тем сильнее хотелось не просто точечно обрабатывать инциденты, а детально расследовать источник атаки и выстраивать Kill Chain злоумышленника.

Переход на новую должность занял чуть больше полутора лет.
Сейчас я занимаюсь расследованием сложных и нестандартных кейсов, активно участвую в разработке и улучшении правил корреляции для различных систем мониторинга, в том числе для нашего флагманского продукта RT Protect EDR.

❗️В направлении мониторинга и реагирования на инциденты нет рутины.
Каждый день приносит что-то новое: вчера — фишинг, сегодня — компрометация учетной записи, завтра — шифровальщик. И каждый раз ты учишься чему-то новому.

Чтобы перейти на следующий уровень, пришлось подтянуть несколько направлений:
📎Операционные системы — журналы событий, процессы, службы.
📎MITRE ATT&CK и логика атак — построение Kill Chain, понимание TTP.
📎Инструменты мониторинга — работа с SIEM, EDR, SOAR и другими средствами защиты.
📎Инфраструктура и безопасность — основы Active Directory, настройка сбора событий.
📎Soft skills — четкая коммуникация с командой и заказчиком, аргументация и принятие решений.

В обучении помогли коллеги и наставники.
У нас в команде принято делиться опытом, и это сильно ускоряет развитие.
Неотъемлемой частью обучения также является постоянное изучение материалов из открытых источников: Хабр, отчеты вендоров, социальные сети.

🔒Главный вывод за это время: в SOC нельзя стоять на месте.
Технологии и атаки меняются каждый день, и чтобы оставаться квалифицированным специалистом, нужно непрерывно развиваться и обучаться.

#ИБ_в_лицах