Analitycy SOC i specjaliści wykrywania cyberzagrożeń

Digiventi dostarcza analityków SOC, którzy dołączają do zespołu bezpieczeństwa, aby analizować alerty i zmniejszać zaległości w obsłudze zgłoszeń. Łączą zdarzenia z SIEM z dowodami z urządzeń końcowych. Odtwarzają przebieg incydentu i eskalują sprawy zgodnie z uzgodnionymi kryteriami istotności.

Zakres obejmuje bieżącą obsługę kolejki alertów lub dodatkowe analizy w okresach zwiększonej aktywności. Analitycy prowadzą dokumentację spraw i aktualizują procedury reagowania. Zalecenia dotyczące ograniczenia incydentu przekazują osobie uprawnionej do podjęcia decyzji. Mogą prowadzić analizy w Microsoft Sentinel lub Splunk.

Inżynierowie detekcji opracowują i testują reguły dla rozpoznanych luk w monitoringu oraz aktualizują istniejące reguły po zmianach systemowych. Sprawdzają logikę wykrywania względem technik MITRE ATT&CK i faktycznie dostępnej telemetrii.

• Tworzenie reguł: Piszą zapytania KQL lub SPL i określają progi alertowania. Weryfikują dopasowania na reprezentatywnych zdarzeniach bezpieczeństwa.
• Utrzymanie detekcji: Badają fałszywe alarmy i pominięte zdarzenia. Wersjonowanie zmian oraz testy regresyjne pomagają sprawdzić, czy strojenie zachowuje wymagane pokrycie.

To kompetencje potrzebne, gdy szum informacyjny zajmuje czas analityków lub brakuje sprawdzonych reguł wykrywających istotne zachowania napastników.

Specjaliści aktywnego wyszukiwania zagrożeń badają podejrzenia, których nie rozstrzygają istniejące alerty, na przykład nadużycie danych uwierzytelniających lub utrzymywanie dostępu do urządzeń. Każde badanie zaczynają od hipotezy i określenia wymaganych dowodów.

Analizują aktywność urządzeń końcowych oraz tożsamości, dokumentując ustalenia i ograniczenia widoczności. Korzystają z danych Microsoft Defender XDR lub CrowdStrike Falcon, jeśli te platformy są dostępne. Potwierdzone wzorce mogą stanowić podstawę nowych reguł detekcji. Podejrzenia włamania przekazują do obsługi incydentu. Raport oddziela zaobserwowane dowody od założeń i niesprawdzonych możliwości.

Inżynierowie SIEM usuwają braki i błędy danych utrudniające wiarygodną analizę alertów. Konfigurują pobieranie zdarzeń do Microsoft Sentinel lub Splunk oraz sprawdzają, czy wymagane dane trafiają do właściwych reguł detekcji.

• Podłączanie źródeł: Integrują dane z urządzeń końcowych i dzienniki audytowe usług chmurowych. Weryfikują parsowanie oraz mapowanie pól względem potrzeb analityków.
• Ciągłość monitoringu: Diagnozują przerwy w zbieraniu danych i opóźnienia ich przesyłania. Sprawdzają ustawienia retencji oraz uprawnienia dostępu względem wymagań bezpieczeństwa.

Ta specjalizacja obejmuje zmiany infrastruktury i bieżące utrzymanie telemetrii potrzebnej do analiz SOC.