Analisti SOC e specialisti di rilevamento delle minacce

Digiventi fornisce analisti SOC che si uniscono al tuo team di sicurezza per indagare sugli allarmi e ridurre i casi arretrati. Correlano gli eventi SIEM con le evidenze degli endpoint. Ricostruiscono la cronologia degli incidenti e inoltrano i casi secondo criteri di gravità concordati.

Possono gestire le code ricorrenti di allarmi o aumentare la capacità investigativa nei periodi di maggiore attività. Aggiornano i fascicoli e le procedure di risposta; le raccomandazioni di contenimento passano al responsabile autorizzato dell'incidente. L'esperienza con Microsoft Sentinel e Splunk permette di operare nell'ambiente di monitoraggio esistente.

Gli ingegneri di rilevamento sviluppano analisi per colmare le lacune individuate e aggiornano le regole quando cambiano i sistemi. Verificano la logica rispetto alle tecniche MITRE ATT&CK e alla telemetria disponibile.

• Sviluppo delle regole: scrivono query KQL o SPL e definiscono le soglie di allarme. Verificano le corrispondenze su eventi di sicurezza rappresentativi.
• Manutenzione del rilevamento: analizzano falsi positivi e mancate corrispondenze. Modifiche versionate e test di regressione verificano che l'ottimizzazione preservi la copertura utile.

Questa competenza serve quando regole rumorose assorbono tempo o comportamenti di attacco prioritari non generano allarmi affidabili.

Gli specialisti nella ricerca proattiva delle minacce indagano su sospetti che gli allarmi esistenti non chiariscono, come l'abuso di credenziali o la persistenza sugli endpoint. Ogni indagine parte da un'ipotesi e da requisiti espliciti sulle evidenze da raccogliere.

Esaminano le attività degli endpoint e delle identità, documentando riscontri e limiti di visibilità. Possono usare le evidenze di Microsoft Defender XDR o CrowdStrike Falcon, dove disponibili. I comportamenti confermati diventano candidati per nuove regole; i sospetti di compromissione passano ai responsabili della risposta agli incidenti. Il rapporto distingue le evidenze osservate dalle ipotesi e dalle possibilità non verificate.

Gli ingegneri SIEM intervengono quando evidenze mancanti o inaffidabili impediscono di concludere le indagini. Configurano l'acquisizione in Microsoft Sentinel o Splunk e verificano che gli eventi necessari raggiungano le regole previste.

• Collegamento delle sorgenti: integrano endpoint e registri di controllo cloud, poi verificano l'interpretazione dei dati e la mappatura dei campi rispetto alle esigenze investigative.
• Continuità del monitoraggio: diagnosticano interruzioni della raccolta e ritardi di acquisizione. Controllano conservazione dei dati e permessi di accesso rispetto ai requisiti di sicurezza.

Questa competenza copre modifiche infrastrutturali e manutenzione continuativa della telemetria utilizzata dal SOC.