Werken als SOC Analist

Wat doet een SOC Analist?

Een dienst begint met de meldingenlijst uit het SIEM, het systeem dat logs uit andere systemen verzamelt en daar meldingen van maakt. Elke melding beoordeel je: is dit zinvol, is het bekend, en is er iets aan de hand? Neem een melding dat het SIEM een inlogpoging ziet vanuit een land waar de medewerker nooit werkt. Je kijkt of de poging gelukt is, of dezelfde account daarna bestanden downloadt of nieuwe apparaten toevoegt, en of er eerder vergelijkbare inlogs waren.

Zo nodig bel je de medewerker of de IT-beheerder. Het antwoord bepaalt wat er gebeurt: het is een vals alarm, of het is een incident dat naar de Incident Responder gaat. Veel meldingen blijken vals alarm. Een beheerder die een script draait, een VPN-verbinding vanaf een reis of een regel die te streng is afgesteld, geven allemaal een melding. Die ruis wegfilteren en elke melding afsluiten met een korte notitie waarom is een groot deel van het werk, en een goede notitie helpt de volgende analist. Blijkt het een echt incident, dan schaal je op naar een senior of de Incident Responder en leg je vast wat er gebeurd is.

Het tempo bepaalt de lijst mede. Een melding kan op een rustig moment binnenkomen of midden in iets anders. Het werk vraagt aandacht voor details en tegelijk het vermogen om niet vast te lopen in één melding.

Een melding van begin tot eind

Neem een melding uit de EDR-tool. Die markeert op een laptop een onbekend proces dat verbinding maakt met een extern adres.

1. Binnenkomst. De melding staat in de lijst. Je ziet op welk systeem hij is afgegaan en welke regel dat deed.
2. Eerste beoordeling. Is dit zinvol, en is het bekend? Je kijkt of het proces op meer plekken voorkomt en of het eerder is gezien.
3. Context verzamelen. Welk proces is het, welke gebruiker heeft het gestart, wat gebeurde er ervoor en erna, en hebben andere laptops hetzelfde proces?
4. Besluit. Het is een vals alarm of een incident. Bij een vals alarm sluit je de melding af met een korte notitie waarom.
5. Onderzoek en indammen. Bij twijfel isoleer je de laptop van het netwerk en meld je het aan de gebruiker en de beheerder. Bij een incident volg je de afspraken van het SOC en schaal je op.
6. Overdracht. Bij een dienstwissel geef je de lopende zaak over met een korte, volledige overdracht.
7. Verslag. Je schrijft wat je gezien hebt, wanneer, welke logs dat bewijzen, wat je gedaan hebt en wat je adviseert.
8. Wat je leert. Je bekijkt of de regel beter afgesteld kan worden, of je geeft de melding door aan de Detection Engineer.

Een SOC werkt met draaiboeken, vaste werkwijzen die zeggen wat je controleert en wie je belt. Zo handelt iedere analist op dezelfde manier.

Hoe is een SOC georganiseerd?

Rollen en lagen verschillen per organisatie. Sommige SOC's werken met niveau 1, 2 en 3, andere niet. In een SOC met lagen beoordeelt de eerste laag de meldingen en schaalt die op. De tweede laag onderzoekt dieper en de derde laag pakt de zwaarste zaken en bouwt mee aan detectie. In andere SOC's doet iedereen een beetje van alles.

Bij SOC's die dag en nacht draaien werkt het team met diensten. Bij een dienstwissel krijgt de volgende analist de lopende zaken over. Een SOC werkt ook samen met het IT-beheer en met het incidentteam. Sommige organisaties laten een extern SOC meekijken of besteden het werk geheel uit. Hoe dat bij een werkgever geregeld is, staat in de vacature.

Tools en technologie

Een SIEM verzamelt logs uit systemen en maakt meldingen op basis van regels. Een EDR-tool bewaakt endpoints, zoals laptops en servers, en legt vast wat daar gebeurt. Voorbeelden van SIEM-platforms zijn Microsoft Sentinel, Splunk en Elastic Security. CrowdStrike is een voorbeeld van een EDR-tool. Het zijn voorbeelden. Welke tools een werkgever gebruikt, staat in de vacature.

Wie één SIEM kent, leert een tweede sneller, omdat de vragen hetzelfde blijven: wat gebeurde er, op welk systeem, en door wie.

MITRE ATT&CK is een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen in de praktijk. Het staat open voor iedere persoon of organisatie, zonder kosten. Er zijn matrices voor Enterprise, Mobile en ICS. In de Enterprise-matrix staan technieken gegroepeerd onder tactieken, zoals Initial Access, Persistence, Lateral Movement en Exfiltration. Een analist kan het gebruiken als gedeelde taal: je geeft gedrag een naam, zodat jij, de Incident Responder en de Detection Engineer over dezelfde techniek praten. Je gebruikt die naam in je verslag en in het overleg met collega's. ATT&CK is een naslagwerk, geen checklist, en het zegt niet welke tool je moet kopen. Lees het zelf op attack.mitre.org.

Skills

De functie vraagt om technische kennis en om communicatie. Bij elke skill staat een voorbeeld uit het werk.

• Netwerken. Je begrijpt hoe verkeer tussen systemen loopt, zodat je een verdacht pad herkent.
• Logs lezen. Veel bewijs staat in logs. Je leest ze snel en vindt de regel die ertoe doet.
• Besturingssystemen. Je weet hoe processen, accounts en rechten werken, en welk proces een gebruiker heeft gestart.
• Malware-basis. Je herkent gedrag dat bij malware hoort, zoals een onbekend proces dat verbinding maakt met een extern adres.
• Nauwkeurig rapporteren. Je verslag is zo helder dat een collega verder kan zonder de vragen opnieuw te stellen.
• Kalm blijven onder druk. Tijdens een lopend incident zet je rustig de volgende stap.
• Samenwerken met IT-beheer. Beheerders kennen de systemen en kunnen een melding snel verklaren.
• Duidelijk communiceren. Je belt of mailt een medewerker die niet weet wat een log is, en legt uit wat je nodig hebt.

Hoe word je SOC Analist?

Een hbo-opleiding in ICT of security is een gangbare route. De functie is ook bereikbaar voor wie uit systeembeheer of netwerkbeheer komt. Je moet vooral laten zien dat je logs kunt lezen en een bevinding helder kunt opschrijven.

Een certificering laat zien dat je basiskennis hebt. CompTIA Security+ is daar een voorbeeld van, en de skillpagina laat zien waar het in vacatures terugkomt. CompTIA omschrijft Security+ als een internationaal erkende cybersecurity-certificering die praktische vaardigheden voor kernfuncties in security aantoont. Op de CompTIA-pagina staan onder andere de functies Security Analyst, Security Engineer en Systems Administrator. Of een werkgever waarde hecht aan de certificering, verschilt per werkgever. Kijk voor de actuele versie op de CompTIA-pagina.

Je kunt zelf beginnen. Richt een eigen oefenomgeving in, verzamel logs en leer die te analyseren. Schrijf daarna op wat je vindt. Met dat materiaal zoek je een instapfunctie of een stage. In een sollicitatiegesprek laat je zien welk logbestand je hebt geanalyseerd en welke bevinding je helder hebt opgeschreven.

Waar groei je naartoe?

Dit is een overzicht van rollen, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

• Senior SOC Analist. Je neemt de zwaardere zaken. Zie de vacatures voor SOC Analisten.
• Incident Responder. Je leidt het onderzoek en het herstel na een echt incident. Zie de vacatures en de rolgids.
• Threat Hunter. Je zoekt actief naar aanvallers die nog geen melding hebben gegeven. Zie de vacatures en de rolgids.
• Detection Engineer. Je bouwt en onderhoudt de regels waarmee het SIEM meldingen maakt. Zie de vacatures en de rolgids.
• SIEM Engineer. Je beheert het SIEM-platform zelf. Zie de vacatures en de rolgids.
• SOC Manager. Je stuurt het team aan en bepaalt hoe het werkt. Zie de vacatures en de rolgids.

SOC Analist of Penetration Tester?

De SOC Analist verdedigt en stopt echte incidenten. De Penetration Tester simuleert aanvallen en zoekt zwakke plekken. Beide gebruiken kennis van aanvalstechnieken, maar ze werken vanuit een andere kant.

Kies naar het werk dat je elke dag wilt doen: meldingen beoordelen in een SOC, of systemen testen. Voor de andere kant lees je de rolgids voor de Penetration Tester en de vacatures voor Penetration Testers.

Vacatures en werkgevers

Op de vacaturepagina voor SOC Analisten zie je welke functies openstaan. Op de werkgeverspagina zie je welke werkgevers SOC Analisten zoeken. De vacatureteksten laten zien hoe de functie bij elke werkgever is ingevuld, dus lees die naast deze pagina.