Analityk SOC Tier 2 — Praca krok po kroku
Zmiana uprawnień przypada na okno serwisowe
Praca krok po kroku · Lekcja 3 z 6
Powiązanie zdarzeń i zasięg
Szukaj wspólnej tożsamości, hosta i rodzaju zmiany. Opisz, gdzie masz dowód, a gdzie wyłącznie możliwe powiązanie. Sprawdź luki w pokryciu źródeł.
- Co zrobić najpierwPorównaj źródła
- Co zrobić dalejWskaż powiązania
- Jak zakończyćZapisz luki
Przykład z pracy
Dwa alerty dotyczą jednej usługi, lecz tylko jeden ma potwierdzony związek z daną zmianą uprawnień.
Ćwiczenie praktyczne
Rozdziel dowody wspólne, różnice i obszary bez telemetrii.
Zmiana uprawnień przypada na okno serwisowe
Podejmij decyzję
Wróć do notatki z początku sprawy. Zapisz pierwsze działanie i wyjaśnij, jak pomoże rozwiązać sytuację.
Pokaż przykładową reakcję
Potwierdzam właściciela i zakres zmiany oraz porównuję niezależne zdarzenia Oceniasz prawdopodobne wyjaśnienie na podstawie dowodów i zapisujesz pozostałe luki.
- Zamykam alert z powodu zaplanowanych prac
- Zbieżność czasu nie wystarcza, skoro zakres pozostaje niepotwierdzony.
- Potwierdzam właściciela i zakres zmiany oraz porównuję niezależne zdarzenia
- Oceniasz prawdopodobne wyjaśnienie na podstawie dowodów i zapisujesz pozostałe luki.
- Odłączam usługę bez sprawdzenia skutków i uprawnień
- Reakcja bez uzgodnienia może przerwać pracę i utrudnić dalszą ocenę.
Sprawdź się — opcjonalne pytanie
Co odróżnia obserwację od hipotezy?
- Obserwację wspiera zapis ze wskazanego źródła
- Hipoteza zawsze jest sprzeczna z dowodami
- Obserwacja nie wymaga odnotowania czasu
Pokaż odpowiedź i wyjaśnienie
Obserwację wspiera zapis ze wskazanego źródła. Ocenę można kontynuować, jeśli wiadomo, co faktycznie zaobserwowano.
Praca krok po kroku · Lekcja 4 z 6
Priorytet i przekazanie
Uwzględnij ważność usługi, przewidywany wpływ oraz pewność ustaleń. Nie czekaj z przekazaniem istotnej sprawy na komplet informacji. Wskaż, co zespół ma rozstrzygnąć jako następne.
- Co zrobić najpierwOceń wpływ
- Co zrobić dalejZbierz dowody
- Jak zakończyćPrzekaż pytanie
Przykład z pracy
Zespół wyżej kwalifikuje sprawę na krytycznym zasobie, a notatka odróżnia podejrzenie od potwierdzenia.
Ćwiczenie praktyczne
Przygotuj komunikat do zespołu reagowania z oceną wpływu i luką.
Sprawdź się — opcjonalne pytanie
Jak wygląda użyteczna eskalacja?
- Ma tylko identyfikator alertu
- Zawiera dowody, wpływ, luki i następną decyzję
- Zawiera wszystkie niepowiązane komunikaty
Pokaż odpowiedź i wyjaśnienie
Zawiera dowody, wpływ, luki i następną decyzję. Odbiorca może ocenić pilność i podjąć dalszą pracę.