Как устроен SOC: экскурсия для нормальных людей (или почему аналитик пьет кофе в 3 часа ночи)

Вы когда-нибудь задумывались, что происходит после того, как вы нажали на подозрительную ссылку? Нет, где-то в темной комнате не загорается красная лампа. Но примерно в этот момент в центре мониторинга безопасности (SOC) у кого-то дергается глаз.

Кто здесь живет (три линии обороны)

Представьте себе приёмный покой, только вместо пациентов - инциденты.

L1 (Первая линия): Это «фильтр». Сюда стекаются все события, алерты, крики систем. Задача парня из L1 - понять, это реальная атака или сервер просто балуется? Работа нервная, потому что 99% сигналов являются ложные. Отсюда и бешеное потребление кофеина.
L2 (Вторая линия): Сюда попадают только подтвержденные «раны». Это уже настоящие охотники. Они не просто видят, что «что-то пошло не так», они копают: откуда пришел хакер, что он уже успел посмотреть, куда побежал дальше. Их девиз: «Паники нет, давайте логи».
L3 (Третья линия): Это «VIP-кабинет» или «тяжелая артиллерия». Сюда зовут, когда всё совсем плохо. Они пишут инструкции (плейбуки), разбирают сложные вирусы и ищут уязвимости, которые пропустили все остальные. В идеале они нужны редко, но без них SOC - не SOC.

Из чего состоит их день (смена глазами аналитика)

Забудьте про хакеров в капюшонах. Работа в SOC - это 80% рутины и 20% дикого адреналина.

Экран номер раз: Дашборд с кучей графиков. По нему видно, всё ли в порядке или «всё пропало».
Экран номер два: Логи. Бесконечные строчки текста, где надо найти иголку в стоге сена. Это как смотреть на «Матрицу», но без погружения.
Чашка кофе: Ритуальный предмет. Аналитик пьет кофе, чтобы не уснуть. Кофе пьет аналитика, чтобы он не сошел с ума.
Красная кнопка: Её нет. Но всем нравится думать, что она есть.

Почему люди оттуда уходят (история одной усталости)

Главная проблема SOC - не хакеры, а выгорание. Монотонно смотреть на логи 8 часов, а потом в 17:45 получить реальную атаку и сидеть до полуночи - это тяжело.

Я вижу это постоянно. Человек приходит гореть идеей, а через год его глаза тухнут. Потому что ложные срабатывания убивают интерес быстрее, чем любой вирус. Моя задача как руководителя - сделать так, чтобы они не выгорали. Сменами, ротацией, интересными задачами и, да, нормальной зарплатой.

Итог для простых смертных

SOC - это не магия. Это живые люди, которые смотрят на экраны, чтобы вы могли спокойно работать и не бояться, что ваши пароли утекли в открытый доступ.

Если вы работаете в компании, где есть SOC, помните: если вам пришло письмо «Ваш аккаунт взломан», лучше не тыкать по ссылкам, а скинуть его аналитикам. Они разберутся. И дадут вам спокойно попить кофе.