एसओसी लोग हैं। "नमस्ते, हम प्रतिभा की तलाश कर रहे हैं" या साइबर अटैक मॉनिटरिंग और प्रतिक्रिया केंद्र के विश्लेषकों को कहां से आता है

आज, यहां तक ​​कि hh.ru पर एक सरसरी खोज लगभग 90 रिक्तियां देती है जो जादू शब्द "विश्लेषक" और काफी सभ्य भुगतान शर्तों के साथ कार्यों और कार्यक्षमता में भिन्न हैं। कई उम्मीदवारों की आंखों के सामने, बड़े डेटा और मशीन सीखने तुरंत तैरते हैं, वेतन बाजार से बहुत ऊपर नृत्य करना शुरू कर देता है और शून्य के साथ छेड़खानी करता है। तो निगरानी केंद्र के विश्लेषक कौन हैं जो "यह सुनिश्चित करने के लिए जिम्मेदार हैं कि ग्राहक हैक नहीं हुआ है"? वे क्या करते हैं और आपको इस स्थिति को जानने और सक्षम होने की क्या आवश्यकता है?



पिछले लेखों में, हमने कहा कि 3 पंक्ति के विश्लेषक के मुख्य कार्यों की सूची में शामिल हैं:

• घटनाओं की पहचान करने के लिए असामान्य गतिविधियों का विश्लेषण।
• उनके ग्राहकों की असामान्य घटनाओं पर प्रतिक्रिया।
• निगरानी द्वारा दर्ज नहीं की गई आईएस की घटनाओं की जांच में भागीदारी
• तकनीकी निरीक्षण, कनेक्शन और घटना स्रोतों का अनुकूलन।
• नई घटना का पता लगाने परिदृश्यों का विकास करना।

सारांश में, ग्राहक के साइबर खतरों की निगरानी के तकनीकी पहलुओं के लिए विश्लेषक जिम्मेदार है। स्रोत लॉग नहीं भेजता है, घटना पार्स नहीं हुई, स्क्रिप्ट ने काम नहीं किया या जाली नहीं था, वे हमले से चूक गए - ग्राहक को सौंपा गया विश्लेषक सब कुछ के लिए जिम्मेदार है।
हालांकि, इसका मतलब यह नहीं है कि 30 साल की उम्र तक सभी सोलर जेएसओसी विश्लेषक ग्रे या गंजे हैं। सभी नहीं। बस यह भूमिका अपने कलाकार पर उच्च मांगों का अर्थ रखती है। आइए उन्हें और अधिक विस्तार से वर्णन करने का प्रयास करें। हम तुरंत इस तथ्य पर ध्यान आकर्षित करेंगे कि इस लेख में हमने जानबूझकर उन तकनीकी दक्षताओं पर ध्यान केंद्रित नहीं किया है जो हम सौर जेएसओसी विश्लेषक की भूमिका के लिए उम्मीदवार से अपेक्षा करते हैं। प्रौद्योगिकी के बारे में पहले ही बहुत कुछ कहा जा चुका है, लेकिन, जैसा कि हमारे लेखों की श्रृंखला का नाम कहता है, एसओसी लोग हैं।

लड़ो और तलाश करो

हम इस पर ध्यान केंद्रित नहीं करेंगे, लेकिन आप कोलम्बिया के बारे में कुछ शब्द नहीं कह सकते हैं :) नौकरी के विवरण में वे अक्सर लिखते हैं: "सिएम सिस्टम के साथ अनुभव"। एक तरफ, सबकुछ स्पष्ट है: कोलम्बिया एक एसओसी इंजन है, इसके बिना, एक सेवा, जैसा कि वे कहते हैं, "नहीं जाएगा"। (कुछ विशेषज्ञों की आपत्तियां हैं और उनका अपना है, जीवन का अधिकार है, बिना एसओएम के एसईएम के निर्माण के सिद्धांत, लेकिन फिर भी यह हमारे लेख का विषय नहीं है।)

हालांकि, वास्तव में, इन शब्दों के पीछे एक विशेष आईटी प्रणाली के लॉग को देखने की क्षमता से कुछ अधिक है।

विश्लेषक ग्राहक के बुनियादी ढांचे के बारे में न्यूनतम जानकारी के आधार पर वैक्टर पर हमला करने में सक्षम होना चाहिए। बेशक, ऐसा होता है कि जब ग्राहक कनेक्ट होता है, तो हम उससे L2-L3 सबनेट, सर्वर की एक सूची और अपनी भूमिकाओं के साथ AWP, AD और SCCM से अपलोड आदि की पूरी जानकारी प्राप्त करते हैं। और सौर जेएसओसी विशेषज्ञों के बीच यहां तक ​​कि एक किंवदंती है कि एक ग्राहक था जो आज तक यह सब जानकारी प्रदान करता है ... लेकिन, दुर्भाग्य से, यह हमेशा मामला नहीं होता है, और आपको हमारे पास जो भी है उसके साथ काम करना होगा। और इसका मतलब यह है कि आपको आईएस की घटनाओं की निगरानी और पहचान के लिए उच्च गुणवत्ता वाली सेवा प्रदान करने के लिए जुड़े स्रोतों और प्राप्त घटनाओं की पर्याप्तता का आकलन करने में सक्षम होने की आवश्यकता है। जाहिर है, इसके लिए, एक विशेषज्ञ के पास एक विशिष्ट कंपनी के बुनियादी ढांचे के निर्माण के लिए उपयोग की जाने वाली मुख्य आईटी प्रौद्योगिकियों पर एक मजबूत पृष्ठभूमि होनी चाहिए।

समानांतर में, विश्लेषक नए (इस मामले में, पढ़ें - गैर-कोर) कार्यों को हल करने के लिए पुराने स्रोतों का उपयोग करने में सक्षम होना चाहिए। उदाहरण के लिए, हमारे ग्राहक बैंकों में से एक, जिसके पास देश भर के एटीएम का एक विकसित नेटवर्क है, में एक तीव्र समस्या थी: उपयोग किए गए एंटीवायरस समाधान ने हमें एंटीवायरस सॉफ़्टवेयर के साथ इन एटीएम की कवरेज की पूर्णता का मूल्यांकन करने की अनुमति नहीं दी। हालाँकि, हमारे पास कर्नेल स्तर का फ़ायरवॉल जुड़ा हुआ था, और हमें पता था कि कौन से प्रोसेसिंग सर्विस एटीएम के साथ बातचीत करते हैं। इन लॉग का उपयोग करते हुए, जिम्मेदार विश्लेषक उन एटीएम के आईपी पते की सूची तैयार करने में सक्षम थे जो प्रसंस्करण में दस्तक दे रहे हैं, और साथ ही, एंटी-वायरस समाधान नियंत्रण केंद्र के डेटाबेस में उनके एजेंट के बारे में जानकारी नहीं है। कई महीनों के संयुक्त गहन कार्य के बाद, हम ऐसे एटीएम की सूची को कई सौ इकाइयों से कम करने में कामयाब रहे, और इन्वेंट्री कार्य, मूल रूप से परमाणु, अंततः एक निरंतर आधार पर शुरू किया गया था।

खोजो और छोड़ो नहीं

विश्लेषक के लिए अत्यंत उपयोगी संक्षारण और विस्तार पर ध्यान देना है। चल रही सौर जेएसओसी स्क्रिप्टिंग पूल द्वारा दर्ज नहीं की गई जांच की गई घटनाएं विभिन्न स्रोतों से हजारों या लाखों घटनाओं के साथ एक बहुत ही जटिल, नियमित काम है। और यहां सबसे मुश्किल बात यह है कि एक धागे को खोजने के लिए जो खींचकर, घटना की पूरी उलझन को सुलझाना संभव होगा।

उदाहरण के लिए, हमारे पास एक मामला था जब एक विश्लेषक ने ग्राहक के बुनियादी ढांचे में अनधिकृत प्रविष्टि की जांच की और समझौता के मूल बिंदु को खोजने के लिए प्रबंधन नहीं किया। समस्या को हल करने के लिए, हमें आने वाले और बाहर जाने वाले नेटवर्क कनेक्शन पर मासिक रिपोर्ट बनानी होगी, जिसमें ग्राहक के बाहरी पतों के पूल से संबंधित आईपी पतों की भागीदारी हो। और इस रिपोर्ट के लंबे विश्लेषण के बाद ही, एक परीक्षण वेब सर्वर से नीदरलैंड के एक आईपी पते पर एटिपिकल आउटगोइंग कनेक्शन खोजना संभव था, जो अंततः एक समझौता किए गए सर्वर पर हमलावर द्वारा शुरू की गई रिवर्स शेल गतिविधि के रूप में निकला।



विश्लेषक के कार्यों के भाग को ग्राहक के साथ सीधे संचार की आवश्यकता होती है। कभी-कभी इसकी जानकारी शाब्दिक रूप से टिक्स से खींचनी पड़ती है, उदाहरण के लिए, जब एक अनुरोध "पिछले सप्ताह इस तरह के और इस तरह के कार्य केंद्र के बारे में क्या संदेह था?" के रूप में आता है। वास्तव में, प्रमुख सवालों की एक श्रृंखला के बाद, यह पता चलता है कि इस वर्कस्टेशन पर काम करने वाले कर्मचारी ने धूम्रपान कक्ष में आईएस डिवीजन के अपने सहयोगी से शिकायत की थी कि उसके डेस्कटॉप पर एक फ़ाइल गायब थी। और सुरक्षा अधिकारी ने तब बाहरी एसओसी से यह पूछने का फैसला किया कि वह किससे जुड़ा था, लेकिन सवाल का शब्द बहुत अस्पष्ट था। और ऐसा हर समय होता है। एक टीम में काम करने की कुख्यात क्षमता को पछाड़ना मुश्किल है, अर्थात् एक सेवा प्रबंधक के साथ मिलकर। उच्च-गुणवत्ता वाली सेवा प्रदान करने के लिए, यह महत्वपूर्ण है कि दोनों टीम को एक दिशा में खींचते हैं, और एक प्रसिद्ध कल्पित कहानी की तरह नहीं।

चरित्र लगातार है, नॉर्डिक

अलग-अलग, यह एक चरित्र विशेषता को ध्यान देने योग्य है जो सभी पुनरारंभों में इतना परिचित हो गया है कि कोई भी इस पर कोई ध्यान नहीं देता है। यह तनाव प्रतिरोध के बारे में है। सोलर जेएसओसी एक 24-बाय -7 सेवा प्रदान करता है, जिसका अर्थ है कि सभी विश्लेषक एक महत्वपूर्ण घटना की जांच में शामिल होने के लिए किसी भी समय, दिन या रात में तैयार होने वाली राउंड-द-क्लॉक कॉल में भाग लेते हैं। उसी समय, जैसा कि आंकड़े बताते हैं, महत्वपूर्ण घटनाओं का एक बड़ा हिस्सा घंटों के बाद ठीक होता है। एक रात में कई बार जागने की क्षमता सामने आती है, और मस्तिष्क को शुरू करना चाहिए और लगभग तुरंत सबसे महत्वपूर्ण जानकारी को देखने के लिए तैयार होना चाहिए।



सभी रिकॉर्ड की गई घटनाओं की जांच पहली निगरानी लाइन के इंजीनियरों द्वारा की जाती है। विश्लेषक का कार्य वृद्धि के दौरान कनेक्ट करना है, साथ ही पहली पंक्ति द्वारा काम की गई घटनाओं की जांच की गुणवत्ता की निगरानी करना है। इसके अलावा, इंजीनियर अक्सर घटनाओं की व्याख्या करने या घटना की आलोचनात्मकता का आकलन करने में मदद करने के लिए विश्लेषक की ओर रुख करते हैं। इसका मतलब यह है कि विश्लेषक को अपने कनिष्ठ सहयोगियों का मार्गदर्शन करना चाहिए, जांच की गुणवत्ता पर प्रगति की निगरानी करना चाहिए और पहली पंक्ति टीम लीड को प्रतिक्रिया देना चाहिए।

इसके अलावा, ग्राहक अक्सर घटनाओं पर यह या वह जानकारी प्रदान करने के लिए कहता है। विश्लेषक को कार्य का मूल्यांकन करना चाहिए, इसे सही ढंग से व्याख्या करना चाहिए और कार्य को पूरा करने में कठिनाई के स्तर के आधार पर, इसे पूरे या आंशिक रूप से कार्यान्वयन के लिए पहली पंक्ति के इंजीनियरों को पास करना चाहिए। यह महत्वपूर्ण है कि अपने आप पर सभी तकनीकी गतिविधि को लॉक न करें और स्केलेबल संसाधन के रूप में समय पर पहली पंक्ति में स्वायत्त कार्यों को सौंपें। ऐसे कार्यों के एक उदाहरण के रूप में, एक अनुरोध का हवाला दे सकता है जैसे "कुछ मेजबानों पर कर्मचारी एन की गतिविधि के बारे में जानकारी अनलोड करना आवश्यक है" या "पिछले महीने के लिए पता xxxx के साथ नेटवर्क इंटरैक्शन पर जानकारी प्रदान करने का अनुरोध"। जैसा कि आप देख सकते हैं, अनुरोध काफी सरल हैं, लेकिन इनका कोलम्बिया में कार्यान्वयन के लिए एक निश्चित समय की आवश्यकता होती है, और यह पहली पंक्ति द्वारा काफी संभव है।

"... उन्हें मुझे सिखाने दो"

सोलर JSOC को कैसे बदला जाता है? काश, सब कुछ सरल होता, जैसा कि चित्र में है, लेकिन अफसोस।

यदि आप बाहर से लोगों को काम पर रखने के साथ-साथ एक क्षैतिज संक्रमण पर विचार नहीं करते हैं, तो विश्लेषक एक प्रतिक्रिया इंजीनियर से सबसे प्राकृतिक तरीके से बढ़ेगा (जेएसओसी गिरोह में इस भूमिका के बारे में अधिक विवरण यहां और यहां पढ़ा जा सकता है )। "और केवल यह तर्कसंगत है," जैसा कि प्रसिद्ध चरित्र ने कहा।

प्रतिक्रिया अभियंता सबसे अधिक संभावना निगरानी की पहली पंक्ति से बाहर हो गए, जिसका अर्थ है कि वह घटनाओं के चल रहे प्रवाह की जांच करने के लिए एक कठिन रास्ते से गुजरे, स्काइला फाल्स पॉजिटिव और चरीबडीस फाल्स नेगेटिव के बीच पैंतरेबाज़ी। इसके अलावा, इंजीनियर ने पहले से ही अधिक जटिल जांच के कौशल हासिल कर लिए हैं, इनसे सहकर्मियों के साथ गहराई से काम करना, इवेंट स्रोतों को जोड़ना, साथ ही ग्राहकों की विशिष्ट समस्याओं को हल करना है। सामान्य तौर पर, उन्होंने आगे की वृद्धि के लिए आवश्यक नींव में महारत हासिल की।

लेकिन क्या यह एनालिटिक्स में जाने के लिए पर्याप्त है? यह एक कठिन प्रश्न है। और आमतौर पर इसका कोई सार्वभौमिक उत्तर नहीं है। कम से कम, विश्लेषक, प्रतिक्रिया इंजीनियर के साथ तुलना में, एक नई जिम्मेदारी है - ग्राहक के साथ बातचीत। यह कई लोगों के लिए एक तिपहिया की तरह प्रतीत होगा, लेकिन अभ्यास से पता चला है कि यह मामले से बहुत दूर है। कई लोग, जो आईटी में डूबे हुए हैं, उन्हें डर को दूर करने के लिए खुद पर मेहनत करनी पड़ती है और हम सेवा प्रदान करने वाले लोगों के साथ संवाद करना सीखते हैं। कुछ तो जिम्मेदारी के बोझ से दब जाते हैं। दूसरों के लिए यह स्वीकार करना मनोवैज्ञानिक रूप से कठिन है कि विश्लेषक की स्थिति में अब वरिष्ठ कॉमरेड नहीं होंगे जो आपके बाद डबल-चेक करेंगे और त्रुटियों को इंगित करेंगे। कई लोगों के लिए, यह बहुत अधिक तनाव है - जब आप एटिपिकल कार्य करते हैं, जिनमें से प्रत्येक आपके कौशल के लिए एक चुनौती है, जब एक पंक्ति में कई समाधान एक मृत अंत बन जाते हैं। कई तो बस हार मान लेते हैं। इसलिए मानवीय गुण यहां एक महत्वपूर्ण भूमिका निभाते हैं।

विश्लेषक की स्थिति के लिए अनुवाद कार्यों के रूप में, हम आमतौर पर दो प्रकार के कार्यों की पेशकश करते हैं। उनमें से एक जेएसओसी सामग्री को विकसित करने का कार्य है, उदाहरण के लिए, नए हमले वैक्टर का पता लगाने के लिए एक स्क्रिप्ट ब्लॉक विकसित करना। ताजा से - सक्रिय निर्देशिका पर हमलों का पता लगाने के कार्यान्वयन, विशेष रूप से DCShadow में।

सामग्री के साथ काम करने के अलावा, अनुवाद प्रक्रिया के दौरान विश्लेषक को दो या तीन सौर जेएसओसी ग्राहकों के लिए जिम्मेदार नियुक्त किया जाता है: उनके बुनियादी ढांचे, जुड़े स्रोतों और उनसे प्राप्त होने वाली घटनाओं की जांच करता है, कनेक्टेड सिस्टम की पूर्णता की पुष्टि करता है और स्क्रिप्ट चलाने का कार्य करता है, और पता चला घटनाओं की निगरानी करने के लिए कार्यवाही करता है और पहली पंक्ति के इंजीनियरों के काम की गुणवत्ता इन घटनाओं पर। स्वीकृति के बाद, इस ग्राहक के लिए सेवा के तकनीकी पक्ष के बारे में सभी प्रश्न नए विश्लेषक की जिम्मेदारी के क्षेत्र में जाते हैं।

एनालिटिक्स टीम में पदों की रैंकिंग है। जूनियर विश्लेषक खुद के लिए एक नई भूमिका मानता है और विशिष्ट कार्यों में लगा रहता है। विश्लेषक जेएसओसी की प्राथमिक स्ट्राइक फोर्स है, जो मुख्य टास्क पूल को बंद करती है। मैं वरिष्ठ विश्लेषक की भूमिका के बारे में भी कहना चाहूंगा। जैसा कि नाम से पता चलता है, वरिष्ठ विश्लेषक अपने मुख्य कार्यों के साथ पूरी तरह से सामना करते हैं, जबकि उन्हें सौर जेएसओसी सेवा प्रबंधन की समझ है, व्यवसाय के जोखिमों का आकलन करने में सक्षम है, उच्च स्तर का संचार है, और यदि आवश्यक हो तो एक गैर-मानक सेवा, आदि की वास्तुकला का काम करने में सक्षम है। इस प्रकार, इस तरह के एक कर्मचारी के व्यक्ति में, हमारे पास एक स्वायत्त मुकाबला इकाई है जो सेवा प्रबंधक को गुणवत्ता की हानि के अभाव में उसकी अनुपस्थिति की अवधि के लिए बदल सकती है।

लेकिन उस कर्मचारी के आगे क्या होता है जिसने एनालिस्ट नाम की सीढ़ी को आगे बढ़ाया? सौर जेएसओसी विकास की सीढ़ी वहाँ समाप्त नहीं होती है।

आप विकास पर ध्यान केंद्रित कर सकते हैं और "गहरी खुदाई" कर सकते हैं, एक निगरानी केंद्र में एक विश्लेषक के अपने ज्ञान और कौशल में सुधार कर सकते हैं, धीरे-धीरे एक निपुण विशेषज्ञ बन जाते हैं जो अब कार्यों की जटिलता के स्तर की परवाह नहीं करते हैं।

आप विश्लेषकों के काम को अनुकूलित कर सकते हैं, साथ ही इस स्थिति में काम करना शुरू करने वाले लोगों की देखरेख कर सकते हैं। दूसरे शब्दों में, धीरे-धीरे एक स्थानीय टीम लीड की भूमिका के लिए अग्रिम।

और आप शास्त्रीय प्रबंधकों की श्रेणी में शामिल होने की कोशिश कर सकते हैं और एसएलए अनुपालन की निगरानी, ​​सौर जेएसओसी सेवा का प्रबंधन, प्रदान किए गए सेवा के स्तर के संदर्भ में ग्राहक के साथ बातचीत जैसे कठिन कार्यों को उठाते हुए एक सेवा प्रबंधक का बोझ उठा सकते हैं।

हम प्रत्येक कर्मचारी को उसके लिए सबसे उपयुक्त विकास वेक्टर पर निर्णय लेने और सौर जेएसओसी संरचना में खुद को खोजने में मदद करने की कोशिश कर रहे हैं।