Werken als SOC Engineer

Wat doet een SOC Engineer?

Een SOC Engineer bouwt, koppelt, onderhoudt en verbetert de techniek van een Security Operations Center. Het SOC bewaakt de beveiliging van de organisatie, en de engineer zorgt dat de systemen waarmee dat gebeurt blijven werken. Dat zijn de SIEM, het platform dat logs uit andere systemen verzamelt en daar meldingen van maakt op basis van regels, de EDR-tools die laptops en servers bewaken, en de automatisering eromheen. De SOC Analist werkt met die meldingen. De engineer werkt aan het systeem dat ze maakt.

De functie heet niet overal zo. Bij sommige organisaties draagt dezelfde werkzaamheid de titel Detection Engineer, SIEM Engineer of Security Operations Engineer, of gewoon Security Engineer met een SOC-accent. Bij andere organisaties is het een deel van de taken van een senior analist. Er is geen officieel profiel voor de SOC Engineer. Het Europese kader van ENISA kent die naam niet, dus deze pagina is vakduiding. De vacature zegt wat het werk concreet is.

Neem een team dat een nieuwe webapplicatie live zet, terwijl de logs nog niet in het SIEM staan. Een aanval daarop zou niemand opmerken. De SOC Engineer koppelt de bron, kiest welke logs nodig zijn en controleert of je in het SIEM ziet welk account er inlogt, vanaf welk adres en met welke uitkomst.

Een logbron kan ook stil vallen zonder dat iemand het merkt. Dat gebeurt bijvoorbeeld wanneer een ander team iets wijzigt en de bron daarna niets meer stuurt. Er komt dan geen melding, en juist daardoor is het gevaarlijk. De SOC Engineer richt daarom een controle in die alarm slaat als een bron te lang stil is. Dat soort bewaking van de bewaking hoort bij de kern van de functie.

Het werk hoort bij het vakgebied security operations.

Een detectieregel van idee tot productie

Een regel doorloopt een vaste reeks stappen. Hieronder is de regel voor een reeks mislukte inlogpogingen, gevolgd door een geslaagde inlog vanaf hetzelfde adres.

1. Het idee kan komen uit een incident, een nieuwe aanvalstechniek of een melding van een Threat Hunter of Detection Engineer.
2. Je controleert of de benodigde logs er zijn en of ze volledig zijn.
3. Je schrijft de regel in een gedeeld formaat zoals Sigma. Sigma beschrijft logevents op een eenvoudige manier en is bedoeld voor SIEM-systemen, zie de Sigma-repository.
4. Je test de regel op voorbeeldgebeurtenissen en op historische data.
5. Je zet de regel meekijkend aan, zodat je ziet hoeveel meldingen er komen en hoeveel daarvan vals alarm zijn.
6. Je stelt de regel af.
7. Je schrijft een draaiboek voor de analist: wat die controleert en wie die belt.
8. Je rolt de regel uit.
9. Na verloop van tijd kijk je of de regel nog nuttig is.

Waar het kan koppel je de regel aan een techniek uit MITRE ATT&CK. ATT&CK is een wereldwijd toegankelijke kennisbank van tactieken en technieken van aanvallers, gebaseerd op waarnemingen in de praktijk, en staat open voor iedereen zonder kosten (attack.mitre.org). Zo zie je welk gedrag het team kan zien en welk niet. Een regel is daarna niet af. De tuning gaat door.

SOC Engineer of SOC Analist?

Het verschil zit in wat je met een melding doet. Lees de rolgids Werken als SOC Analist voor het werk van de analist, en bekijk op de vacaturepagina voor SOC Engineers welke vacatures er zijn.

De twee rollen hebben elkaar nodig. Een analist die dezelfde ruis steeds opnieuw ziet, kan dat bij de engineer melden, en de engineer heeft de analist nodig om te weten wat een melding in de praktijk betekent. In kleinere teams doet één persoon beide. Wie liever bouwt dan beoordeelt, past eerder bij de engineer. Voor de vacatures van de analist zie je SOC Analisten.

Welke taken horen bij de functie?

Eerst het eerlijke punt: het Europese kader van ENISA beschrijft twaalf profielen, en daar hoort geen SOC Engineer-profiel bij. De taken hieronder komen daarom uit de vakpraktijk en de voorbeelden hierboven. Twee profielen uit hetzelfde kader lijken er sterk op. Het Cybersecurity Implementer-profiel beschrijft vergelijkbaar technisch werk: oplossingen integreren, systemen veilig configureren en de prestaties van controls bewaken. Het Cyber Incident Responder-profiel laat zien waar de SOC Analist zijn plek heeft, want SOC Analyst staat onder de alternatieve titels. Dat maakt de SOC Engineer nog niet tot dat profiel.

In de praktijk gaat het om het volgende:

• Logbronnen koppelen en controleren, zodat de juiste velden in het SIEM terechtkomen.
• Regels bouwen, testen en afstellen.
• Automatisering en draaiboeken bouwen voor werk dat analisten telkens met de hand doen.
• Het SOC-platform gezond houden, zoals bronnen die stil vallen of trage zoekopdrachten.
• Regels en koppelingen documenteren, zodat een collega ze kan overnemen.
• Met analisten bespreken welke meldingen veel ruis geven, en na een incident meedenken over wat het SOC had moeten zien.

Welke skills heb je nodig?

De technische skills beginnen bij logs. Je leest logbestanden, begrijpt welke velden erin zitten en ziet waar een bron iets anders schrijft dan verwacht. ENISA noemt dat bij het Cyber Incident Responder-profiel "logbestanden beheren en analyseren". Daarnaast script je: een klein script in Python of PowerShell haalt de accountgegevens op die een analist nodig heeft, zodat hij dat niet meer met de hand doet. Scripts en programma's ontwikkelen is bij het Cybersecurity Implementer-profiel een key skill. Je begrijpt verder hoe netwerken en besturingssystemen werken, zodat je weet wat normaal is. En je kent aanvalstechnieken, zodat een regel gedrag vangt en niet alleen één bestandsnaam. Een regel die op gedrag let, vangt ook een nieuwe variant met een andere naam.

Niet-technisch werk is net zo bepalend. Je luistert naar wat analisten lastig vinden en vertaalt dat naar een betere regel. Je schrijft zo dat een collega verder kan zonder jou te bellen, bijvoorbeeld in een draaiboek. Als vijf verzoeken tegelijk binnenkomen, kies je wat eerst moet. En wanneer een bron uitvalt tijdens een incident, blijf je rustig en zet je de volgende stap.

Welke tools en technologie gebruikt een SOC Engineer?

Een SIEM verzamelt logs en maakt meldingen op basis van regels. Voorbeelden van SIEM-platforms zijn Microsoft Sentinel, Splunk en Elastic Security. Een EDR-tool bewaakt endpoints, zoals laptops en servers, en legt vast wat daar gebeurt. CrowdStrike is een voorbeeld van een EDR-tool. SOAR, security orchestration, automation and response, is software die vaste stappen automatisch uitvoert en de uitkomst aan een melding koppelt.

Scripttalen gebruik je om gegevens op te halen, koppelingen te controleren en regels te testen. Python en PowerShell zijn daarvan voorbeelden. Versiebeheer houdt bij wie wanneer een regel heeft aangepast, zodat je een wijziging kunt terugdraaien.

Geen van deze namen is een advies over welke tool de beste is. Wie één SIEM kent, leert een tweede meestal sneller, omdat de vragen hetzelfde blijven. In de vacature staat welke tools het team gebruikt.

Welke opleiding en certificeringen passen bij een SOC Engineer?

Een hbo-opleiding in ICT is een gangbare route. Zij-instroom uit beheer komt ook voor, en wie uit systeembeheer of netwerkbeheer komt, kent de systemen die de engineer moet koppelen.

Een certificering laat basiskennis zien. CompTIA Security+ is daarvan een voorbeeld, en op de skillpagina zie je waar het in vacatures terugkomt. CompTIA meldt dat versie 7 beschikbaar is en dat versie 8 naar verwachting rond 17 november 2026 verschijnt, dus kijk op de CompTIA-pagina voor de actuele versie. GIAC Security Operations Certified (GSOC) is een andere certificering. Volgens GIAC toont die aan dat je een organisatie kunt verdedigen met de gereedschappen en technieken van het blue team voor incidentrespons. Voor later kun je kijken naar CISSP.

Een certificering vervangt ervaring niet. Of een werkgever er waarde aan hecht, bepaalt die werkgever zelf.

Hoe word je SOC Engineer?

Er zijn twee routes. De eerste loopt via de SOC Analist. Je kent de meldingen, weet waar de ruis zit en gaat daarna bouwen. De tweede loopt via beheer of ontwikkeling. Je kunt al bouwen en leert het security-deel erbij.

Je kunt zelf beginnen. Richt een eigen oefenomgeving in met een SIEM en lees er logs van een eigen systeem in. Schrijf een regel en test die met voorbeeldgebeurtenissen. Bouw daarna een kleine automatisering, bijvoorbeeld een script dat gegevens ophaalt. Beschrijf in een portfolio of een korte tekst wat je deed en waarom. Dat laat je zien in een sollicitatiegesprek.

Waar werk je en waar groei je naartoe?

SOC Engineers werken bij organisaties met een eigen SOC, bij organisaties waarvan het SOC meerdere klanten bedient, en bij organisaties die het SOC deels uitbesteden en intern een engineer houden. Sectoren waar security-teams voorkomen zijn financiële dienstverlening, energie en infrastructuur, de rijksoverheid en IT, SaaS en technologie.

Dit is een overzicht van rollen, geen belofte. Bij sommige organisaties zijn Detection Engineer, SIEM Engineer en SOC Engineer drie functies, bij andere één.

• Detection Engineer: je richt je op de inhoud van de detectie en bouwt de regels. Zie ook de vacatures.
• SIEM Engineer: je richt je op het platform zelf, de inrichting, koppelingen en prestaties. Zie ook de vacatures.
• Security Engineer: je werkt breder dan het SOC. Zie ook de vacatures.
• Threat Hunter: je zoekt actief naar aanvallers die nog geen melding hebben gegeven. Zie ook de vacatures.
• SOC Manager: je stuurt het team aan. Zie ook de vacatures.

Vacatures en werkgevers

Op de vacaturepagina voor SOC Engineers zie je welke vacatures openstaan. Op de werkgeverspagina zie je welke werkgevers SOC Engineers zoeken. Lees de vacaturetekst zorgvuldig. Daarin staat welke tools het team gebruikt, welke logbronnen het koppelt en of de functie als engineer of als analist is opgesteld.