SOC هم أشخاص. "مرحبًا ، نحن نبحث عن المواهب" أو من أين يأتي المحللون من مركز مراقبة الهجمات الإلكترونية والاستجابة لها

اليوم ، حتى البحث السريع على hh.ru يعطي حوالي 90 وظيفة شاغرة مختلفة في المهام والوظائف مع الكلمة السحرية "محلل" وشروط دفع لائقة إلى حد ما. أمام أعين العديد من المرشحين ، البيانات الكبيرة والتعلم الآلي يطفو على الفور ، يبدأ الراتب بالرقص بعيدًا عن السوق ومغازلة الأصفار. إذن من هم محللو مركز المراقبة المسؤولون عن ضمان عدم اختراق العميل؟ ماذا يفعلون وماذا تريد أن تعرف وتكون قادرًا على الوصول إلى هذا المنصب؟



قلنا في مقالات سابقة أن قائمة المهام الرئيسية لمحلل السطر الثالث تشمل:

• تحليل الأنشطة غير الطبيعية لتحديد الحوادث.
• الاستجابة للحوادث الخطيرة غير العادية لعملائها.
• المشاركة في التحقيق في حوادث داعش غير مسجلة بالمراقبة
• الفحص الفني والتوصيل وتكييف مصادر الأحداث.
• تطوير سيناريوهات جديدة للكشف عن الحوادث.

باختصار ، المحلل مسؤول عن الجوانب التقنية لرصد التهديدات الإلكترونية للعميل. المصدر لا يرسل سجلات ، الحدث لم يجر ، النص لم يعمل أو مزور ، لقد أخطأوا الهجوم - المحلل المعين للعميل هو المسؤول عن كل شيء.
ومع ذلك ، هذا لا يعني أن جميع محللي Solar JSOC رماديون أو أصلع في سن الثلاثين. ليس كل شيء. فقط هذا الدور ينطوي على مطالب عالية على أداءه. دعنا نحاول وصفها بمزيد من التفصيل. سنلفت الانتباه على الفور إلى حقيقة أننا في هذه المقالة لم نركز عن عمد على الكفاءات التقنية التي نتوقعها من المرشح لدور محلل Solar JSOC. لقد قيل الكثير بالفعل عن التكنولوجيا ، ولكن ، كما يقول اسم سلسلة مقالاتنا ، SOC هم أشخاص.

حارب واطلب

لن نركز على ذلك ، ولكن لا يمكنك قول بضع كلمات عن SIEM :) في الوصف الوظيفي الذي يكتبونه غالبًا: "تجربة مع نظام SIEM". من ناحية ، كل شيء واضح: SIEM هو محرك SOC ، بدونه ، خدمة ، كما يقولون ، "لن تذهب". (لدى بعض الخبراء اعتراضات ولديهم الحق في الحياة ، ونظريات بناء SOC بدون SIEM ، ولكن لا يزال هذا ليس موضوع مقالنا.)

ومع ذلك ، في الواقع ، وراء هذه الكلمات شيء أكثر من القدرة على النظر إلى سجلات نظام تكنولوجيا معلومات معين.

يجب أن يكون المحلل قادرًا على تصميم نواقل الهجوم بناء على الحد الأدنى من المعلومات حول البنية التحتية للعميل. بالطبع ، يحدث أنه عندما يتصل العميل ، نحصل منه على معلومات كاملة عن الشبكات الفرعية L2-L3 ، وقائمة من الخوادم وخطط العمل السنوية مع أدوارها ، وتحميلات من AD و SCCM ، إلخ. ومن بين المتخصصين في Solar JSOC هناك أسطورة أنه كان هناك مرة أحد العملاء الذين قدموا كل هذه المعلومات حتى الآن ... ولكن للأسف ، ليس هذا هو الحال دائمًا ، وعليك العمل مع ما لدينا. وهذا يعني أنك بحاجة إلى أن تكون قادرًا على تقييم مدى كفاية المصادر المتصلة والأحداث المستلمة لتقديم خدمة عالية الجودة لرصد وتحديد حوادث داعش. من الواضح ، لهذا ، يجب أن يكون لدى المتخصص خلفية قوية حول تقنيات تكنولوجيا المعلومات الرئيسية المستخدمة لبناء بنية تحتية نموذجية للشركة.

بالتوازي ، يجب أن يكون المحلل قادرًا على استخدام المصادر القديمة لحل المهام الجديدة (في هذه الحالة ، القراءة - غير الأساسية). على سبيل المثال ، واجهت إحدى بنوك العملاء لدينا ، والتي لديها شبكة متطورة من أجهزة الصراف الآلي في جميع أنحاء البلاد ، مشكلة حادة: لم يسمح لنا حل مكافحة الفيروسات بتقييم مدى اكتمال تغطية أجهزة الصراف الآلي هذه ببرامج مكافحة الفيروسات. ومع ذلك ، كان لدينا جدار حماية مستوى kernel متصل ، وعلمنا أي أجهزة الصراف الآلي لخدمة المعالجة التي تتفاعل معها. باستخدام هذه السجلات ، تمكن المحلل المسؤول من إعداد قائمة بعناوين IP لأجهزة الصراف الآلي التي تطرق في المعالجة ، وفي الوقت نفسه ، لا تحتوي قاعدة بيانات مركز التحكم في حل مكافحة الفيروسات على معلومات حول وكيلهم. لعدة أشهر من العمل المكثف المشترك ، تمكنا من تقليل قائمة أجهزة الصراف الآلي هذه من عدة مئات إلى وحدات ، وتم إطلاق مهمة الجرد ، التي كانت في الأصل ذرية ، على أساس مستمر.

تجد ولا تستسلم

مفيد للغاية للمحلل هو التآكل والاهتمام بالتفاصيل. إن التحقيق في الحوادث التي لم يتم تسجيلها من قبل مجموعة البرمجة النصية الخاصة بـ Solar JSOC هو عمل معقد للغاية وروتيني مع الآلاف أو حتى الملايين من الأحداث من مصادر مختلفة. وهنا أصعب شيء هو العثور على خيط بسحبه ، سيكون من الممكن كشف التشابك الكامل للحادث.

على سبيل المثال ، كانت لدينا حالة عندما حقق أحد المحللين في دخول غير مصرح به إلى البنية التحتية للعميل ولم يتمكن من العثور على نقطة التسوية الأصلية. لحل المشكلة ، كان علينا بناء تقرير شهري حول اتصالات الشبكة الواردة والصادرة بمشاركة عناوين IP التي تنتمي إلى مجموعة العناوين الخارجية للعميل. وفقط بعد تحليل طويل لهذا التقرير ، كان من الممكن العثور على اتصالات صادرة غير نمطية من خادم ويب تجريبي إلى عنوان IP من هولندا ، والذي تحول في النهاية إلى نشاط شل عكسي ، أطلقه مهاجم على خادم مخترق.



يتطلب جزء من مهام المحلل التواصل المباشر مع العميل. في بعض الأحيان يجب سحب المعلومات منه حرفياً عن طريق القراد ، على سبيل المثال ، عندما يصل طلب في شكل "ما كان مريبًا من مثل محطة العمل هذه الأسبوع الماضي؟". في الواقع ، بعد سلسلة من الأسئلة الرائدة ، اتضح أن الموظف الذي عمل في محطة العمل هذه اشتكى لزميله من قسم IS في غرفة التدخين من أن ملفًا مفقودًا على سطح مكتبه. ثم قرر ضابط الأمن أن يسأل شركة نفط الجنوب الخارجية عما كانت مرتبطة به ، لكن صياغة السؤال كانت غامضة للغاية. وهذا يحدث طوال الوقت. من الصعب المبالغة في تقدير القدرة السيئة السمعة للعمل في فريق ، وبالتعاون مع مدير خدمة. لتقديم خدمة عالية الجودة ، من المهم أن يسحب الفريق الفريق في اتجاه واحد ، وليس كما هو الحال في أسطورة واحدة مشهورة.

الشخصية مستمرة ، الشمال

بشكل منفصل ، تجدر الإشارة إلى سمة شخصية أصبحت مألوفة جدًا في جميع السير الذاتية التي لا يهتم بها أحد. حول مقاومة الإجهاد. توفر Solar JSOC خدمة على مدار الساعة طوال أيام الأسبوع ، مما يعني أن جميع المحللين يشاركون في مكالمات على مدار الساعة ، جاهزة في أي وقت ، ليلاً أو نهارًا ، للانضمام إلى التحقيق في حادثة مهمة. في الوقت نفسه ، كما تظهر الإحصائيات ، فإن جزءًا كبيرًا من الحوادث الخطيرة يحدث بالضبط بعد ساعات. تأتي القدرة على الاستيقاظ عدة مرات في الليل في المقدمة ، ويجب أن يبدأ الدماغ ويكون جاهزًا لاستيعاب أهم المعلومات على الفور تقريبًا.



يتم التحقيق في جميع الحوادث المسجلة من قبل مهندسي خط المراقبة الأول. تتمثل مهمة المحلل في الاتصال أثناء التصعيد ، بالإضافة إلى مراقبة جودة التحقيق في الحوادث التي تم تحديدها بواسطة الخط الأول. علاوة على ذلك ، غالبًا ما يلجأ المهندسون إلى المحلل للمساعدة في تفسير الأحداث أو تقييم مدى خطورة الحادث. وهذا يعني أن المحلل يجب أن يوجه زملائه الصغار ، ومراقبة التقدم في جودة التحقيق وتقديم التعليقات لقائد الفريق الأول.

غالبًا ما يطلب العميل تقديم هذه المعلومات أو تلك المتعلقة بالأحداث. يجب على المحلل تقييم المهمة ، وتفسيرها بشكل صحيح وتمريرها إلى مهندسي الخط الأول للتنفيذ ، كليًا أو جزئيًا ، اعتمادًا على مستوى الصعوبة في إكمال المهمة. من المهم عدم قفل جميع الأنشطة الفنية على نفسك وتفويض المهام المستقلة إلى السطر الأول في الوقت كمورد قابل للتطوير. كمثال على هذه المهام ، يمكن للمرء أن يستشهد بطلبات مثل "من الضروري تفريغ معلومات حول نشاط الموظف N على مضيفين معينين" أو "طلب تقديم معلومات حول تفاعل الشبكة مع العنوان xxxx للشهر الماضي". كما ترى ، فإن الطلبات بسيطة للغاية ، لكن تنفيذها في SIEM يتطلب قدرًا معينًا من الوقت ، وهو أمر ممكن تمامًا في السطر الأول.

"... دعهم يعلمونني"

كيف يتم تجديد Solar JSOC؟ أتمنى لو كان كل شيء بسيطًا ، كما في الصورة ، لكن للأسف.

إذا كنت لا تفكر في توظيف أشخاص من الخارج ، بالإضافة إلى الانتقال الأفقي ، فسوف ينمو المحلل بالطريقة الأكثر طبيعية من مهندس الاستجابة (يمكن قراءة المزيد من التفاصيل حول هذا الدور في عصابة JSOC هنا وهنا ). "وهذا فقط منطقي" ، كما قالت الشخصية الشهيرة.

على الأرجح أن مهندس الاستجابة نما من خط المراقبة الأول ، مما يعني أنه مر بمسار صعب للتحقيق في التدفق المستمر للحوادث ، مناورة بين Scylla False Positive و Charybdis False Negative. بالإضافة إلى ذلك ، اكتسب المهندس بالفعل مهارات التحقيقات الأكثر تعقيدًا ، والعمل المتعمق مع SIEM ، وربط مصادر الأحداث ، بالإضافة إلى حل مشاكل محددة للعملاء. بشكل عام ، أتقن الأساس الضروري لمزيد من النمو.

ولكن هل هذا يكفي للذهاب إلى التحليلات؟ هذا سؤال صعب. وعادة لا توجد إجابة عالمية لذلك. كحد أدنى ، المحلل ، بالمقارنة مع مهندس الاستجابة ، لديه مسؤولية جديدة - التفاعل مع العميل. سيبدو هذا تافهًا للكثيرين ، لكن الممارسة أظهرت أن هذا بعيد عن الحالة. يتعين على العديد من الرجال ، المنغمسين في مجال تكنولوجيا المعلومات ، العمل بجد على أنفسهم للتغلب على الخوف وتعلم كيفية التواصل مع الأشخاص الذين نقدم لهم الخدمة. وبعضهم يتعرض لضغوط شديدة بسبب عبء المسؤولية. من الصعب نفسياً على الآخرين أن يتقبلوا أنه لن يكون هناك رفاق كبار في منصب المحلل الذي سيتحقق مرة أخرى بعدك ويشير إلى الأخطاء. بالنسبة للكثيرين ، هذا كثير من الضغط - عندما تقوم بمهام غير نمطية ، كل منها يمثل تحديًا لمهاراتك ، عندما تتحول العديد من الحلول على التوالي إلى طريق مسدود. ثم يستسلم الكثيرون ببساطة. لذا تلعب الصفات البشرية دورًا مهمًا هنا.

كمهام الترجمة لمنصب المحلل ، نقدم عادة نوعين من المهام. أحدها هو مهمة تطوير محتوى JSOC ، على سبيل المثال ، تطوير كتلة برنامج نصي للكشف عن ناقلات الهجوم الجديدة. من جديد - تنفيذ الكشف عن الهجمات على Active Directory ، ولا سيما DCShadow.

بالإضافة إلى العمل مع المحتوى ، يتم تعيين المحلل أثناء عملية الترجمة مسؤولًا عن اثنين أو ثلاثة من عملاء JSOC Solar: يفحصون بنيتهم ​​التحتية ، والمصادر المتصلة والأحداث التي يتم تلقيها منهم ، ويتحقق من اكتمال الأنظمة المتصلة ونطاقات تشغيل البرامج النصية ، ويتابع مراقبة الحوادث المكتشفة وجودة عمل مهندسي الخط الأول على هذه الحوادث. بعد القبول ، تنتقل جميع الأسئلة المتعلقة بالجانب التقني للخدمة لهذا العميل إلى منطقة مسؤولية المحلل الجديد.

فريق التحليلات لديه ترتيب الوظائف. يتولى المحلل الصغير دورًا جديدًا له وينخرط في مهام نموذجية. المحلل هو القوة الضاربة الأساسية لـ JSOC ، ويغلق مجموعة المهام الرئيسية. أود أيضا أن أقول عن دور كبير المحللين. كما يوحي الاسم ، يتعامل المحلل الأقدم مع مهامه الرئيسية بشكل مثالي ، بينما لديه فهم لإدارة خدمات JSOC الشمسية ، قادر على تقييم مخاطر الأعمال ، ولديه مستوى عالٍ من التواصل ، وإذا لزم الأمر قادر على العمل على بنية خدمة غير نمطية ، إلخ. وبالتالي ، في شخص هذا الموظف ، لدينا وحدة قتالية مستقلة يمكنها استبدال مدير الخدمة لفترة غيابه دون فقدان الجودة.

ولكن ماذا يحدث بجوار الموظف الذي صعد سلمًا يسمى Analyst؟ لا ينتهي سلم تطوير JSOC Solar عند هذا الحد.

يمكنك التركيز على التطوير و "التعمق" ، وتحسين معرفتك ومهاراتك من أحد المحللين في مركز المراقبة ، لتصبح تدريجياً خبيراً راهباً لم يعد يهتم بمستوى تعقيد المهام.

يمكنك تحسين عمل المحللين ، وكذلك الإشراف على الرجال الذين بدأوا العمل في هذا المنصب. وبعبارة أخرى ، تقدم تدريجياً إلى دور قائد الفريق المحلي.

ويمكنك محاولة الانضمام إلى صفوف المديرين الكلاسيكيين وتحمل عبء مدير الخدمة ، وتولي المهام الصعبة مثل مراقبة الامتثال لاتفاقية مستوى الخدمة ، وإدارة خدمة JSOC الشمسية ، والتفاعل مع العميل من حيث مستوى الخدمة المقدمة.

نحن نحاول مساعدة كل موظف على تحديد أفضل وسيلة تطوير مناسبة له وأن يجد نفسه في هيكل Solar JSOC.