SOC analistinin günlük işi, alarmları bağlam içinde doğrulamak, önem sırasına koymak, bulguyu kaydetmek ve gerektiğinde ilgili ekibe aktarmaktır. İş akışı kurumun süreçlerine ve ürünlerine göre değişir; Tier 1, Tier 2 ve Tier 3 adları her yerde aynı sorumluluğu ifade etmez.
Vardiya Başlangıcında Kontrol Edilecekler
- Önceki vardiyadan açık olaylar ve beklenen geri dönüşler.
- Log kaynaklarının veri sürekliliği ve bilinen toplama sorunları.
- Planlı bakım, test veya değişiklikler.
- Yüksek öncelikli alarm kuyruğu ve bildirim kanalları.
Alarm İncelemede Altı Adım
- Alarmı tanımlayın: Kural adı, zaman aralığı, varlık ve önem derecesini kaydedin.
- Ham veriyi doğrulayın: Normalleştirilmiş alanları payload ile karşılaştırın.
- Bağlam toplayın: Kullanıcı, varlık rolü, önceki etkinlik ve planlı değişiklikleri kontrol edin.
- Kapsamı araştırın: Benzer davranışın başka kullanıcı veya cihazlarda görülüp görülmediğine bakın.
- Karar ve aksiyon yazın: Kanıtı, belirsizliği ve eskalasyon gerekçesini açıkça belirtin.
- Takibi kapatın: İlgili ekip geri dönüşünü ve doğrulama sonucunu kayda ekleyin.
Temsili Olay Kaydı
Aşağıdaki örnek eğitim amacıyla kurgulanmıştır; gerçek müşteri olayı değildir.
| Alan | Örnek kayıt |
|---|---|
| Alarm | Kısa sürede tekrarlanan başarısız giriş |
| Varlık | LAB-WIN01 |
| Kanıt | İlgili zaman aralığında kullanıcı ve kaynak sistem kayıtları |
| Açık soru | Yanlış parola kullanan servis mi, yetkisiz deneme mi? |
| Sonraki adım | Hesap sahibi ve sistem sorumlusuyla doğrulama |
Eskalasyon Ne Zaman Gerekir?
Şüpheli etkinlik kritik bir varlığı etkiliyorsa, kapsam büyüyorsa veya mevcut yetkiyle açıklanamıyorsa kurumun eskalasyon süreci izlenir. Analist, onayı ve yetkisi olmadan hesabı kapatmak gibi operasyonu etkileyen değişikliklere geçmemelidir.
Vardiya Devri Nasıl Yazılır?
Olay numarası, mevcut durum, yapılan kontroller, beklenen aksiyon, sorumlu ekip ve zaman bilgisini verin. “İnceleniyor” gibi tek kelimelik not yerine bir sonraki analistin nereden devam edeceğini açıklayın.
Kaynak ve Kapsam
NIST NICE: siber güvenlik görevlerini değerlendirme kaynakları. Çalışma önerileri bu rehber için hazırlanmıştır; işe alım veya gelir garantisi değildir.
İlgili Rehberler
