SOC-da ilk 90 gün: analitikdən nə gözlənilir

SOC-da ilk 90 gün niyə üç mərhələyə bölünür?

Yeni analitik təhlükəsizlik əməliyyatları mərkəzinə (SOC) gələndə eyni anda üç şeyi öyrənməli olur: şirkətin infrastrukturunu, komandanın proseslərini və alətlərin konkret qurulmasını. Bunları bir həftəyə sığdırmaq mümkün deyil. Ona görə bir çox komanda adaptasiyanı mərhələlərə bölür: əvvəlcə müşahidə və triage, sonra qaydalarla iş, sonra müstəqil araşdırma.

Aşağıdakı plan konkret bir şirkətin daxili qaydası deyil, Blue Team praktikasında geniş yayılmış məntiqin ümumiləşdirilməsidir. Müddətlər komandadan asılı olaraq qısala və ya uzana bilər. Ardıcıllıq isə adətən dəyişmir: əvvəl oxumağı, sonra düzəltməyi, sonra izah etməyi öyrənirsiniz.

İlk 30 gündə SOC analitikindən nə gözlənilir?

Birinci ayın əsas işi triage, yəni ilkin qiymətləndirmədir: növbəyə düşən alertləri prioritet üzrə sıralamaq, təkrarlananları qruplaşdırmaq və hansının real hadisə ola biləcəyini ayırmaq. Bu mərhələdə alət biliyindən çox nizam-intizam həlledicidir. Yeni analitik adətən təcrübəli həmkarının yanında işləyir və onun qərar məntiqini izləyir.

• Runbook-ları oxumaq: hər alert tipi üçün komandanın razılaşdırdığı yoxlama addımlarını bilmək.
• Log mənbələrini tanımaq: hansı sistemdən hansı jurnal gəlir, hansı sahələr vacibdir, mənbə susanda bunu necə görmək olar.
• Eskalasiya sərhədini öyrənmək: nəyi özünüz bağlayırsınız, nəyi dərhal yuxarı ötürürsünüz.
• Hər qərarı bilet sistemində bir-iki cümlə ilə əsaslandırmaq: nə gördünüz, nəyə baxdınız, niyə bağladınız.
• Növbə təhvilində açıq işləri qısa və faktlı xülasə ilə ötürmək.

Bu ayın ən böyük riski tələskənlikdir. Alertləri sürətlə bağlamaq yaxşı görünür, amma əsaslandırılmamış bağlanma sonradan ən çox vaxt aparan problemə çevrilir. Sual vermək zəiflik deyil: kiber təhlükəsizlik komandalarında susub səhv qərar vermək daha baha başa gəlir.

31–60-cı günlərdə qaydaların dəqiqləşdirilməsi necə aparılır?

İkinci ay adətən qaydaların dəqiqləşdirilməsi (tuning) ilə keçir. Artıq hansı alertlərin hər gün təkrarlandığını görürsünüz. İndi məqsəd bu səs-küyün mənbəyini tapmaq və qaydanı elə dəyişməkdir ki, real hücum görünməz olmasın. Bu vərdiş komandanın diqqətini boş alertlərdən qoruyur.

1. Sayın: hansı qayda ən çox yanlış müsbət verir — həftəlik siyahı aparın.
2. Mənbəni tapın: səs-küyü planlı skan, admin skripti, xidmət hesabı, yoxsa yeni tətbiq yaradır?
3. Hipotez yazın: qaydanın hansı şərti bu qanuni fəaliyyəti tutur və onu necə daraltmaq olar.
4. Dəyişikliyi Sigma formatında təklif edin: Sigma qaydası platformadan asılı olmayan YAML faylıdır və SIEM-in sorğu dilinə çevrilə bilər.
5. Test edin: həm qanuni fəaliyyəti, həm də MITRE ATT&CK-dakı uyğun hücum texnikasını laboratoriyada təkrarlayın; qayda birincini susdurmalı, ikincini tutmalıdır.
6. Sənədləşdirin: nə dəyişdi, niyə dəyişdi, kim təsdiqlədi.

61–90-cı günlərdə insident hesabatı necə yazılır?

Üçüncü ayda yeni analitik kiçik hadisəni artıq özü sənədləşdirir. NIST SP 800-61 kimi insident idarəetmə tövsiyələri hadisədən sonra öyrənilən dərslərin yazılmasını prosesin ayrılmaz hissəsi sayır. Praktikada yaxşı hesabat bu suallara cavab verir:

• Nə baş verdi: ilk alert, onun mənbəyi və qısa xülasə.
• Vaxt xətti: hadisələrin dəqiq vaxtla ardıcıllığı — ilk əlamətdən lokalizasiyaya (containment) qədər.
• Təsir dairəsi: hansı hostlar, hesablar və məlumatlar toxunuldu.
• Atılan addımlar: kim, nə vaxt, nə etdi — məsələn, hesabın bloklanması və ya hostun təcrid edilməsi.
• MITRE ATT&CK xəritəsi: müşahidə olunan davranışın hansı taktika və texnikaya uyğun gəldiyi.
• Açıq qalan işlər və tövsiyələr: nə hələ yoxlanmalıdır, hansı qayda və ya konfiqurasiya dəyişməlidir.

Yaxşı yazılmış hesabat sonrakı oxşar hadisədə komandaya xeyli vaxt qazandırır: araşdırma sıfırdan deyil, hazır kontekstdən başlayır. Hesabatı yazan analitik həm də öz məntiqini yoxlayır. Yazıya sığmayan nəticə çox vaxt kifayət qədər əsaslandırılmamış olur.

İlk 90 gündə hansı səhvlərdən qaçmaq lazımdır?

• Alerti kontekstsiz bağlamaq: «əvvəl də belə idi» əsaslandırma deyil.
• Hər şeyi tək həll etməyə çalışmaq: eskalasiya qaydası məhz bunun üçün var.
• Qaydanı susdurmaq üçün geniş istisna yazmaq.
• Qeydləri sonraya saxlamaq: növbənin sonunda detallar artıq yaddaşdan çıxır.
• Log mənbəyinin susmasını gözdən qaçırmaq: alertin olmaması həmişə təhlükəsizlik demək deyil.

Bu səhvlərin hamısı alət biliyindən yox, vərdişdən gəlir. Ona görə onları işdən əvvəl, real nəticəsi olmayan mühitdə məşq etmək ən səmərəli yoldur.

Bu üç mərhələni işə başlamazdan əvvəl necə məşq etmək olar?

Kibertəhlükəsizlik sahəsinə yeni girənlər üçün ən praktik hazırlıq yuxarıdakı ardıcıllığı laboratoriyada bir dəfə tam keçməkdir. Log Academy-nin Blue Team proqramı 6 ay davam edir, başlanğıcdan orta səviyyəyə qədər gedir və IT dəstək, şəbəkə və sistem administratorları üçün nəzərdə tutulub.

Qruplar 8–12 nəfərdir, dərslərin 70%-i praktikadır və hər mövzu laboratoriya tapşırığı ilə bağlanır. Format: Bakıda oflayn, onlayn canlı və korporativ təlim. Karyera modulunda CV və LinkedIn baxışı, texniki müsahibə məşqi və vakansiya yönləndirməsi var. İlk dərs pulsuzdur.