Roluri: Tier 1, Tier 2, Tier 3, threat hunter

Într-un Security Operations Center (SOC), structura pe niveluri (tiers) asigură că alertele sunt triate eficient, iar resursele seniorale sunt alocate doar cazurilor complexe. Înțelegerea acestor roluri este crucială pentru că îți definește sfera de responsabilitate, fluxul de lucru și așteptările tehnice de la angajator. Practic, trecerea de la Tier 1 la Tier 3 nu este doar o promovare ierarhică, ci o evoluție de la reacție automatizată la investigare proactivă și inginerie de securitate.

Concepte cheie

• Tier 1 (Analist L1): Este prima linie de apărare, responsabilă cu triajul alertelor, validarea falsilor pozitivi și escaladarea cazurilor legitime către nivelurile superioare.
• Tier 2 (Analist L2): Se ocupă de investigațiile aprofundate ale incidentelor confirmate, analizând contextul, logurile și comportamentul entităților compromise pentru a determina amploarea atacului.
• Tier 3 (Expert L3/Senior): Abordează cazurile critice, complexe sau zero-day, dezvoltând reguli de detecție noi și oferind suport tehnic avansat echipelor inferioare.
• Threat Hunter (Vânător de amenințări): Un rol proactiv care nu așteaptă alerte, ci caută activ indicatori de compromis (IoC) sau anomalii ascunse în rețea care au trecut neobservate de sistemele automate.
• Triaj: Procesul rapid de clasificare a alertelor pentru a determina prioritatea și necesitatea unei investigații detaliate, esențial pentru gestionarea volumului mare de date.
• Escaladare: Mecanismul formal prin care un incident este transferat de la un nivel inferior la unul superior, bazat pe complexitate, impact sau lipsa instrumentelor de diagnosticare.
• Playbook-uri: Ghiduri standardizate de acțiune pentru tipuri specifice de incidente, care ajută analiștii L1 să acționeze rapid și consistent.

Exemplu practic

Să presupunem că un sistem SIEM generează o alertă pentru „Multiple Failed Logins”.

Scenariu L1: Verifici sursa IP și contul vizat. Dacă este un utilizator intern care și-a uitat parola, închizi ticket-ul ca „False Positive”. Dacă IP-ul este extern și provenit dintr-o țară necunoscută, escaladezi către L2.

Scenariu L2: Analizezi logurile de autentificare (Active Directory) și traficul de rețea. Descoperi că, după eșecuri, a avut loc un login reușit și o descărcare suspectă de fișiere. Documentezi lanțul de evenimente și notifici echipa de răspuns la incidente.

// Exemplu de log JSON analizat de L2
{
  "event_type": "authentication_success",
  "source_ip": "192.168.1.105",
  "target_account": "admin_user",
  "geo_location": "Unknown",
  "post_login_activity": ["file_download.exe", "ps_execution"]
}

Greșeli frecvente

• Ignorarea contextului: L1-ii se concentrează doar pe metrichile alertei (ex: numărul de login-uri eșuate) fără a verifica dacă este o practică normală pentru acel departament.
• Lipsa documentației: Analizatorii L2/L3 nu notează pașii de investigare, ceea ce face imposibilă reproducerea cazului sau învățarea de către echipele viitoare.
• Confuzia între Threat Hunting și Reacție: Threat hunting nu înseamnă doar așteptarea alertelor; ignorarea acestui aspect duce la o poziție pasivă ineficientă în SOC.
• Over-engineering soluțiilor: Tentativa de a scrie reguli complexe de detecție înainte de a înțelege fluxul normal al afacerii, generând zgomot inutil.

Întrebări de interviu

1. Care este diferența principală dintre un analist Tier 1 și un Threat Hunter? Răspuns: L1 reacționează la alerte generate de sisteme, în timp ce Threat Hunter caută activ amenințări care nu au declanșat alerte, folosind ipoteze și analiza comportamentală.

2. Cum decizi când să escaladezi un incident către Tier 2? Răspuns: Când identific indicii clare de compromis (IoC), când alerta implică active critice sau când nu am instrumente suficiente pentru a investiga complet sursa.

3. Ce faci dacă primești o alertă care pare un fals pozitiv, dar nu ești sigur? Răspuns: Verific logurile suplimentare, consult play-book-ul și, dacă rămâne dubiu, escaladez către un coleg mai experimentat pentru a evita pierderea unui incident real.

Exercițiu

Alocă 45 de minute pentru a simula un triaj L1. Descarcă un set de date public de loguri de autentificare (ex: din Kaggle sau un dataset de testare SIEM). Identifică 3 cazuri suspecte (ex: brute force, log-in la ore neregulate) și scrie un rezumat scurt pentru fiecare: ce s-a întâmplat, de ce este suspect și ce acțiune ai lua (închidere ticket sau escaladare).