🛡 SOC: Security Operations Center
В последнее время во всех соц.сетях замечаю много вопросов про то, в какое направление ИБ податься, поэтому я открываю цикл постов про направления в ИБ. Первым беру SOC, потому что про него больше всего вопросов и меньше всего конкретики: одни думают, что там круглосуточно читают логи, другие путают его с техподдержкой.
Начну с того, откуда берётся работа. В компании есть серверы, ноутбуки сотрудников, почта, файрвол, антивирус и служба Active Directory (она хранит учётные записи и проверяет пароли при входе). Каждое устройство ведёт журнал: кто вошёл в систему, во сколько, с какого адреса, какая программа запустилась, куда она обратилась по сети. Одна такая запись называется событием, журнал целиком логом. У компании на пару тысяч сотрудников за сутки набираются сотни тысяч событий, и человек, который читал бы их подряд, не успевал бы даже листать.
Поэтому смена работает с алертами. Алерт создаёт программа, когда запись в логе совпала с условием из правила. Правило может звучать так: «на одном хосте за минуту произошло больше двадцати неудачных входов в систему». При совпадении система создаёт алерт и присваивает ему уровень важности. Правила бывают заводские, от вендора, и написанные своими руками под конкретную инфраструктуру.
Теперь про уровни, потому что это деление стоит прямо в названиях вакансий. Tier 1 разбирает входящие алерты: на каком хосте сработало, под какой учёткой, запускался ли этот процесс раньше с такими же аргументами. Больше половины таких алертов он закрывает как ложные срабатывания, потому что их создаёт бэкапный софт, сканер уязвимостей или скрипт администратора по расписанию. В опросе Splunk State of Security 2025 года о перегрузке ложными срабатываниями сообщили 55 процентов опрошенных, и после каждого обновления антивируса доля подрастает. Остаток уходит на Tier 2, где смотрят содержимое памяти процессов, разбирают скрипты PowerShell и VBS, достают хеш файла (строку из букв и цифр, по которой файл можно опознать и сверить с базой антивируса) и проверяют его по VirusTotal. Tier 3 и threat hunter работают по другой схеме: берут матрицу MITRE ATT&CK (справочник техник атакующего с описанием, как каждая выглядит в логах) выбирают технику, которую текущие правила пропускают, и ищут её следы своими запросами.
Про вход в профессию. Опыт пентеста для Tier 1 не нужен, на собеседовании в основном дают логи и просят рассказать, что произошло. Частый вопрос выглядит так: в логе есть событие 4625 (неудачный вход в систему), а через минуту 4624 (удачный вход) с того же адреса. Дальше просят назвать, что проверить после этого. Из номеров событий на входе пригодятся 4688 (создание процесса) и 4104 (блок скрипта PowerShell). Тут есть подвох, на который новички напарываются на первой же смене: командная строка в событии 4688 появляется только после включения аудита командной строки, а событие 4104 требует включённого Script Block Logging в групповых политиках. Пока это не сделано, нужных записей в логах просто нет, и искать их бессмысленно.