SOC analitiki gündəlik nə iş görür?
SOC (Security Operations Center) — şirkətin infrastrukturunu fasiləsiz izləyən müdafiə mərkəzidir. SOC analitiki bu mərkəzin əsas fiqurudur: SIEM-də yaranan alarmları yoxlayır, real təhdidi yanlış müsbətdən ayırır, hadisəni araşdırır və lazım gələndə yuxarı səviyyəyə ötürür. İş yalnız «alarm gözləmək» deyil — komanda həm də təhdid ovu aparır, yəni hələ alarm yaratmamış şübhəli davranışı aktiv axtarır.
Bu rol analitik düşüncə, diqqət və sistemli qeyd aparmaq tələb edir. Məhz buna görə Blue Team təlimləri «düzgün cavabı» əzbərlətmir — real loglar üzərində qərar vermə vərdişi formalaşdırır.
Blue Team təlimləri hansı konkret bacarıqları öyrədir?
| Bacarıq | Nə deməkdir | Alətlər |
|---|---|---|
| Log təhlili | Linux, Windows və tətbiq loglarını oxumaq, faydalı hadisə ID-lərini tanımaq | Sysmon, auditd, journald |
| SIEM idarəsi | Logları toplamaq, parse etmək, dashboard və hesabat qurmaq, axtarış yazmaq | Splunk, ELK, Wazuh |
| Aşkarlama mühəndisliyi | Qayda yazmaq, MITRE ATT&CK üzrə örtük qurmaq, yanlış müsbəti azaltmaq | Sigma, MITRE ATT&CK |
| Triage və incident response | Alarmı prioritetləşdirmək, araşdırmaq, containment və eskalasiya | Playbook, bilet sistemi |
| Təhdid ovu | Alarmdan kənar şübhəli davranışı hipotez əsasında axtarmaq | SIEM sorğuları, threat intelligence |
Bu bacarıqlar bir-birinin üzərində qurulur: əvvəl logu oxumağı, sonra SIEM-də axtarmağı, daha sonra qayda yazıb avtomatlaşdırmağı öyrənirsən. Yaxşı təlim hər mövzunu laboratoriya tapşırığı ilə bağlayır — nəzəriyyə dərhal praktikaya çevrilir.
SOC səviyyələri (T1, T2, T3) necə fərqlənir?
- Tier 1 (triage): gələn alarmları ilk yoxlayan səviyyə — real hadisəni yanlış müsbətdən ayırır və əsaslı olanı yuxarı ötürür.
- Tier 2 (araşdırma): hadisəni dərindən araşdırır, təsir dairəsini müəyyən edir, containment addımlarını atır.
- Tier 3 (ov və mühəndislik): təhdid ovu aparır, yeni aşkarlama qaydaları yazır, SOC-un aşkarlama imkanını yaxşılaşdırır.
- Yüksəliş: analitik adətən T1-dən başlayır və təcrübə ilə T2, sonra T3 və ya aşkarlama mühəndisliyinə keçir.
Yeni başlayan üçün giriş nöqtəsi demək olar ki, həmişə Tier 1-dir. Ona görə Blue Team təlimi məhz bu səviyyənin bacarıqlarına — sürətli və dəqiq triage-a — ciddi diqqət verməlidir.
İşəgötürənlər SOC analitikindən nə gözləyir?
- SIEM ilə praktik iş təcrübəsi — ən azı bir platformada (Splunk, ELK və ya Wazuh) real tapşırıq həll etmiş olmaq.
- Log və şəbəkə əsaslarını başa düşmək — hadisəni konteksti ilə oxuya bilmək.
- MITRE ATT&CK terminologiyasını tanımaq — texnikaları adlandıra və xəritələyə bilmək.
- Aydın hesabat yazmaq bacarığı — texniki tapıntını başqasının anlayacağı dildə ifadə etmək.
- Tanınan müdafiə sertifikatı (məsələn BTL1 və ya giriş səviyyəli praktik sertifikatlar) — CV-də üstünlük yaradır.
- Portfolio — real laboratoriya işlərini və araşdırma hesabatlarını göstərə bilmək.
Blue Team təliminə sıfırdan başlamaq olar mı?
Bəli. Blue Team istiqaməti bazadan başlayır və proqramlaşdırma tələb etmir. Əgər Linux və şəbəkə haqqında biliyiniz yoxdursa, ən məntiqli ardıcıllıq əvvəlcə Linux təməli, sonra Blue Team təlimidir. SIEM, aşkarlama və triage bacarıqları bu təməlin üzərində addım-addım qurulur. Vacib olan kod yazmaq deyil — loglara diqqətlə baxmaq, məntiqi izləmək və yazılı qeyd aparmaqdır.
Tez-tez verilən suallar
Blue Team təlimi ilə SOC analitiki kursu eyni şeydirmi?
Praktikada çox yaxındır. Blue Team müdafiə istiqamətinin ümumi adıdır, SOC analitiki isə bu istiqamətin ən çox tələb olunan ilk rolu. Blue Team təlimi məhz SOC analitiki olmaq üçün lazım olan bacarıqları öyrədir.
Hansı SIEM-i öyrənmək daha yaxşıdır — Splunk, ELK, yoxsa Wazuh?
Konsepsiyalar (log toplama, axtarış, qayda, dashboard) hər platformada eynidir. Birini praktik öyrənən tələbə digərinə asan keçir. Log Academy-də praktika açıq mənbə ELK və Wazuh üzərində aparılır.
SOC analitiki üçün proqramlaşdırma şərtdirmi?
Xeyr. Giriş səviyyəsində log təhlili, SIEM və triage daha vacibdir. Skript (məsələn Python) bacarığı sonradan avtomatlaşdırmada faydalıdır, amma başlanğıc üçün tələb deyil.
Blue Team təlimi neçə ay davam edir?
Log Academy-də Blue Team proqramı təxminən 6 ay davam edir və laboratoriya tapşırıqları ilə yekun insident araşdırması layihəsi ilə bitir.
Təlimi onlayn keçmək praktikaya mane olurmu?
Xeyr. SIEM laboratoriyaları virtual mühitdə işlədiyi üçün onlayn canlı qruplar eyni fərdi laboratoriyaya çıxış alır və praktika oflayn formatdan geri qalmır.
Təlim sonunda iş tapmağa nə kömək edir?
Real laboratoriya işləri, simulyasiya edilmiş insident hesabatları, portfolio, Log Academy sertifikatı və karyera dəstəyi — hamısı birlikdə SOC analitiki vakansiyalarına hazırlıq yaradır.
Blue Team proqramında praktikada öyrən.
Blue Team →Proqram haqqında məlumat alın
Formu doldurun — proqram məsləhətçisi zəng edib müddət, qrup vaxtı və şərtlər barədə ətraflı məlumat versin.