Первые 90 дней в SOC везде проходят одинаково?

Нет. Сроки зависят от размера команды, инструментов и графика смен. Но последовательность чаще всего одна: сначала триаж, затем работа с правилами, затем самостоятельное документирование.

Ждут ли от нового SOC-аналитика написания правил с первого дня?

Обычно нет. В первый месяц главное — следовать runbook и обосновывать решения. Тюнинг правил начинается во втором месяце, когда вы уже видите повторяющиеся алерты.

Что такое Sigma и зачем её изучать?

Sigma — открытый стандарт для описания правил обнаружения в не зависящем от платформы формате YAML. Однажды написанное правило можно конвертировать в языки запросов разных SIEM, поэтому правилами проще делиться и их проще проверять.

Какая часть отчёта об инциденте самая важная?

Хронология и принятые меры. Другой аналитик должен по одному отчёту понять, что произошло, что было сделано и что осталось открытым.

Сколько длится программа Blue Team для подготовки к работе в SOC?

В Log Academy программа Blue Team длится 6 месяцев. В лаборатории отрабатываются симуляция смены, написание правил Sigma и итоговый отчёт об инциденте. Первое занятие бесплатно.

Blue Team · 8 мин чтения · Учебная команда Log Academy

Первые 90 дней в SOC: чего ждут от аналитика

Первые 90 дней в SOC обычно проходят в три этапа: первый месяц — триаж алертов и дисциплина смены, второй — тюнинг правил обнаружения, третий — самостоятельное документирование инцидентов. От нового SOC-аналитика не ждут, что он знает всё. Ждут другого: умения объяснить своё решение, увидеть слабое место правила и написать понятный отчёт об инциденте.

Дни 1–30: приоритизировать очередь алертов, следовать runbook и письменно обосновывать каждое решение.
Дни 31–60: считать повторяющиеся ложные срабатывания (false positive), находить их источник и предлагать доработку правила.
Дни 61–90: документировать инцидент от начала до конца — хронология, затронутые хосты, принятые меры, открытые вопросы.
Мерило успеха — не количество инструментов, а прослеживаемость решений: коллега должен прочитать ваши заметки и продолжить расследование.
Если отработать эти три навыка в лаборатории до выхода на работу, первый месяц даётся заметно спокойнее.

Почему первые 90 дней в SOC делят на три этапа?

Приходя в центр мониторинга безопасности (SOC), новый аналитик одновременно изучает три вещи: инфраструктуру компании, процессы команды и то, как именно настроены инструменты. Уложить это в одну неделю невозможно. Поэтому многие команды разбивают адаптацию на этапы: сначала наблюдение и триаж, затем работа с правилами, затем самостоятельные расследования.

План ниже — не внутренний регламент конкретной компании, а обобщение логики, распространённой в практике Blue Team. Сроки могут сокращаться или растягиваться в зависимости от команды. Последовательность же обычно не меняется: сначала вы учитесь читать, потом исправлять, потом объяснять.

Первые 90 дней в SOC: этапы, фокус и контрольные точки
Этап	Основной фокус	Ожидаемый результат	Контрольная точка
Дни 1–30	Триаж алертов, runbook, передача смены	Самостоятельно закрывать типовые алерты, вовремя эскалировать подозрительные	Опытный коллега читает ваши заметки и может повторить ход решения
Дни 31–60	Ложные срабатывания и тюнинг правил	Найти самые «шумные» правила и предложить обоснованное изменение	Предложенное исключение узкое, задокументировано и протестировано
Дни 61–90	Документирование инцидента и отчёт	Расследовать небольшой инцидент от начала до конца и написать отчёт	Отчёт читается без дополнительных вопросов, следующие шаги понятны

Чего ждут от SOC-аналитика в первые 30 дней?

Главная работа первого месяца — триаж, то есть первичная оценка: отсортировать алерты в очереди по приоритету, сгруппировать повторяющиеся и отделить те, за которыми может стоять реальный инцидент. На этом этапе дисциплина важнее знания инструментов. Обычно новичок работает рядом с опытным коллегой и перенимает логику его решений.

Изучить runbook: знать согласованные командой шаги проверки для каждого типа алерта.
Разобраться в источниках логов: какая система какой журнал присылает, какие поля важны и как заметить, что источник замолчал.
Понять границу эскалации: что вы закрываете сами, а что сразу передаёте выше.
Обосновывать каждое решение в тикет-системе одной-двумя фразами: что увидели, что проверили, почему закрыли.
При передаче смены коротко и по фактам описывать открытые задачи.

Главный риск этого месяца — спешка. Быстро закрытые алерты выглядят хорошо, но необоснованное закрытие потом оборачивается самой большой потерей времени. Задавать вопросы — не слабость: в командах кибербезопасности промолчать и принять неверное решение обходится дороже.

Как проходит тюнинг правил на 31–60-й день?

Второй месяц обычно посвящён тюнингу правил обнаружения. Вы уже видите, какие алерты повторяются каждый день. Теперь задача — найти источник этого шума и изменить правило так, чтобы реальная атака не стала невидимой. Этот навык бережёт внимание всей команды от пустых алертов.

Посчитайте: какое правило даёт больше всего ложных срабатываний — ведите еженедельный список.
Найдите источник: шум создаёт плановое сканирование, скрипт администратора, сервисная учётная запись или новое приложение?
Сформулируйте гипотезу: какое условие правила ловит эту легитимную активность и как его сузить.
Предложите изменение в формате Sigma: правило Sigma — это не зависящий от платформы YAML-файл, который конвертируется в язык запросов SIEM.
Протестируйте: воспроизведите в лаборатории и легитимную активность, и соответствующую технику атаки из MITRE ATT&CK; правило должно заглушить первое и поймать второе.
Задокументируйте: что изменилось, почему и кто утвердил.

Узкое исключение, а не широкое

Самая опасная правка — целиком исключить из правила хост, пользователя или процесс. Атакующий использует именно такие слепые зоны. Делайте исключение максимально узким — конкретная учётная запись, конкретная командная строка, конкретное временное окно — и пишите причину в комментарии к правилу.

Как написать отчёт об инциденте на 61–90-й день?

На третьем месяце новый аналитик уже сам документирует небольшие инциденты. Рекомендации по реагированию на инциденты, такие как NIST SP 800-61, считают фиксацию извлечённых уроков неотъемлемой частью процесса. На практике хороший отчёт отвечает на следующие вопросы:

Что произошло: первый алерт, его источник и краткое резюме.
Хронология: последовательность событий с точным временем — от первого признака до локализации (containment).
Масштаб: какие хосты, учётные записи и данные затронуты.
Принятые меры: кто, когда и что сделал — например, заблокировал учётную запись или изолировал хост.
Карта MITRE ATT&CK: каким тактикам и техникам соответствует наблюдаемое поведение.
Открытые вопросы и рекомендации: что ещё нужно проверить, какое правило или настройку стоит изменить.

Хорошо написанный отчёт заметно экономит время команде при следующем похожем инциденте: расследование начинается не с нуля, а с готового контекста. Пишущий отчёт аналитик заодно проверяет собственную логику. Вывод, который не удаётся изложить на бумаге, чаще всего недостаточно обоснован.

Каких ошибок избегать в первые 90 дней?

Закрывать алерт без контекста: «раньше тоже так было» — не обоснование.
Пытаться решить всё в одиночку: правило эскалации существует именно для этого.
Писать широкое исключение, лишь бы правило замолчало.
Откладывать заметки на потом: к концу смены детали уже забываются.
Не замечать, что источник логов замолчал: отсутствие алертов не всегда означает безопасность.

Все эти ошибки происходят не от незнания инструментов, а от привычек. Поэтому эффективнее всего отработать их до начала работы — в среде, где ошибка ни на что не влияет.

Как отработать эти три этапа до выхода на работу?

Самая практичная подготовка для новичков в кибербезопасности — один раз полностью пройти эту последовательность в лаборатории. Программа Blue Team в Log Academy длится 6 месяцев, ведёт от начального до среднего уровня и рассчитана на специалистов IT-поддержки, сетевых и системных администраторов.

Как мы это делаем в нашей лаборатории

В нашей лаборатории эти три этапа проходятся последовательно. Каждый студент получает собственную виртуальную машину в лаборатории на базе vSphere, и эта среда остаётся доступной 24/7 и после занятий. Сначала идёт симуляция смены на готовом SIEM (ELK или Wazuh): студент приоритизирует алерты и обосновывает решения в заметках. Затем он разбирает «шумное» правило, пишет собственное правило Sigma и проверяет его тестовым сценарием по технике MITRE ATT&CK. В завершение проводится полное расследование смоделированного инцидента и пишется итоговый отчёт.

Группы — 8–12 человек, 70% занятий — практика, и каждая тема закрывается лабораторным заданием. Форматы: офлайн в Баку, онлайн вживую и корпоративное обучение. В карьерный модуль входят разбор CV и LinkedIn, тренировка технического собеседования и направление на вакансии. Первое занятие бесплатно.

Частые вопросы

Первые 90 дней в SOC везде проходят одинаково?: Нет. Сроки зависят от размера команды, инструментов и графика смен. Но последовательность чаще всего одна: сначала триаж, затем работа с правилами, затем самостоятельное документирование.
Ждут ли от нового SOC-аналитика написания правил с первого дня?: Обычно нет. В первый месяц главное — следовать runbook и обосновывать решения. Тюнинг правил начинается во втором месяце, когда вы уже видите повторяющиеся алерты.
Что такое Sigma и зачем её изучать?: Sigma — открытый стандарт для описания правил обнаружения в не зависящем от платформы формате YAML. Однажды написанное правило можно конвертировать в языки запросов разных SIEM, поэтому правилами проще делиться и их проще проверять.
Какая часть отчёта об инциденте самая важная?: Хронология и принятые меры. Другой аналитик должен по одному отчёту понять, что произошло, что было сделано и что осталось открытым.
Сколько длится программа Blue Team для подготовки к работе в SOC?: В Log Academy программа Blue Team длится 6 месяцев. В лаборатории отрабатываются симуляция смены, написание правил Sigma и итоговый отчёт об инциденте. Первое занятие бесплатно.

Источники

Записаться на консультациюСмотреть курс →