Перспективы профессии: 36 минут из рабочих будней

Один случай, от начала до конца

9:12, к тебе приходит сигнал тревоги

SOC — это Security Operations Center, по-русски: команда безопасности предприятия. Junior означает начальную ступень. Вот как проходят там добрых полчаса.

1. 1 9:12 Система сама подаёт сигнал

   На твоём экране появляется строка: в 3:41 ночи кто-то вошёл в систему на компьютере в бухгалтерии. Система это заметила и подала сигнал тревоги. Ты — первый человек, который видит это сообщение.

   Тревога. Так называется сообщение системы о том, что произошло что-то необычное. Большинство таких сигналов оказываются безобидными.
2. 2 9:15 Ты берёшь его в работу

   Один клик — и сигнал закреплён за тобой. Теперь вся команда видит, что ты им занимаешься. В очереди ждут другие сигналы, отсортированные по срочности. Этот не самый срочный, но он новый.

   Триаж. Сортировка по срочности. То же слово, что и в приёмном покое больницы, и это суть работы на начальной ступени.
3. 3 9:24 Ты ищешь доказательства

   Чей это компьютер? Что случилось незадолго до этого? Был ли такой сигнал раньше? Ответы есть в журналах, куда система записывает, кто и когда входил. Ты находишь: такой же вход был и в три предыдущие ночи, всегда в одно и то же время. Похоже на автоматическую задачу обслуживания, а не на человека.

   MITRE ATT&CK. Общедоступный каталог, в котором специалисты со всего мира собрали, какие шаги используют злоумышленники. По нему ты и определяешь, к чему отнести увиденное поведение.
4. 4 9:39 Ты принимаешь решение

   Три возможности: ложная тревога — и ты закрываешь случай; мелкий инцидент — и ты обрабатываешь его по готовой инструкции; серьёзный инцидент — и ты передаёшь его дальше. Здесь этой зацепки тебе мало. Задача обслуживания не значится ни в одном списке, а компьютер принадлежит человеку, который в отпуске. Ты передаёшь случай дальше.

   Эскалация. Передать дальше, на следующую ступень. Это не провал, а предусмотренный путь: на начальной ступени твоя задача — распознать, а не решить всё самому.
5. 5 9:48 Ты это записываешь

   Что произошло, что проверено, какое решение принято и почему. Короткими, ясными предложениями. Коллега, которая продолжит этот случай, должна понять его, не спрашивая тебя. Эту часть многие новички недооценивают; в профессии она — часть каждого рабочего дня.

   Отчёт о случае. Письменное завершение каждого случая. В этой профессии ценится аккуратность и понятная документация, а не скорость.

Так проходит весь день. Сколько приходит сигналов, сильно зависит от фирмы. Между ними приходят вопросы из самой фирмы: коллеги пересылают подозрительные письма и хотят знать, настоящие ли они. Во многих командах это первая задача, которую новые коллеги выполняют самостоятельно. Целая смена с 8 до 16 часов — в SOC‑Simulator.

Четыре вида работодателей

Кто объявляет такие вакансии

Из повышения квалификации

С чем ты откликаешься на такую вакансию

В последний день у тебя будет больше, чем лист бумаги. Что происходит за эти девять месяцев, написано в учебном плане.

• Сертификат CYBERSQUAD Akademie — Документ о законченном повышении квалификации, с номером допуска этой программы. Внутренний документ учебного заведения, а не диплом по профессии, как у Industrie- und Handelskammer (IHK, Торгово-промышленная палата). от нас
• До трёх сертификаций от TryHackMe — SEC0, SEC1 и SAL1, каждая после сданного экзамена, проверить их можно через Credly. Завершение повышения квалификации от них не зависит, а вторая попытка экзамена тебе ничего не стоит. после сданного экзамена
• Отчёты по случаям, как тот выше — Из SOC‑Simulator. Они показывают, как ты обрабатываешь и документируешь инцидент. Именно об этом спрашивают на собеседовании. образец работы
• Готовые документы для трудоустройства — Резюме для немецкого рынка труда, профиль LinkedIn, портфолио на GitHub из собственных небольших программ и два тренировочных собеседования: одно с человеком из отдела кадров, одно со специалистом по IT‑безопасности. последние три недели

Чего тебе не хватает: опыта работы в настоящей компании. У всех, кто начинает, та же проблема, и мы её не замалчиваем. В разговоре называй симулятор своим именем: это учебная среда. А рассказать ты всё равно можешь, как разбирал случай и как его записал.