Analityk SOC Tier 2 — Trudniejsze sytuacje
Zmiana uprawnień przypada na okno serwisowe
Trudniejsze sytuacje · Lekcja 5 z 6
Ograniczenie skutków i ciągłość
Sprawdź zakres dopuszczalnej reakcji oraz skutki uboczne dla użytkowników. Uzgodnij decyzję i sposób jej cofnięcia z właścicielem usługi. Zachowuj dowody zgodnie z procesem.
- Co zrobić najpierwUstal uprawnienia
- Co zrobić dalejOceń skutki
- Jak zakończyćPotwierdź reakcję
Przykład z pracy
Wyłączenie tożsamości aplikacji może zatrzymać przetwarzanie dokumentów w kilku działach.
Ćwiczenie praktyczne
Opisz, jak uzgodnisz działanie ograniczające ryzyko i odbiór usługi.
Sprawdź się — opcjonalne pytanie
Co trzeba rozważyć przed działaniem wpływającym na usługę?
- Wyłącznie łatwość wykonania
- Najszybsze zamknięcie zgłoszenia
- Uprawnienie, skutki, dowody i sposób powrotu
Pokaż odpowiedź i wyjaśnienie
Uprawnienie, skutki, dowody i sposób powrotu. Działanie chroni środowisko, uwzględniając konsekwencje dla pracy.
Trudniejsze sytuacje · Lekcja 6 z 6
Wnioski i jakość reguły
Po zamknięciu sprawy przejrzyj jakość alertu, szybkość decyzji i brakujące dane. Zaproponuj poprawę wraz z oceną przypadków, które nadal powinny zostać wykryte.
- Co zrobić najpierwOdtwórz sprawę
- Co zrobić dalejWskaż zmianę
- Jak zakończyćSprawdź efekt
Przykład z pracy
Reguła zgłasza uzgodnione zmiany, lecz podobny sygnał poza oknem wymaga uwagi.
Ćwiczenie praktyczne
Zaproponuj zmianę kontekstu alertu oraz dwa warunki odbioru.
Zmiana uprawnień przypada na okno serwisowe
Wyjaśnij decyzję
W trzech zdaniach przekaż wynik sprawy „Zmiana uprawnień przypada na okno serwisowe”. Podaj, co potwierdziłeś, jakie działanie wybierasz i kiedy lub pod jakim warunkiem odbiorca powinien wykonać następny krok.
Omówienie decyzji i dopytanie
Przykładowe działanie. Potwierdzam właściciela i zakres zmiany oraz porównuję niezależne zdarzenia
Oceniasz prawdopodobne wyjaśnienie na podstawie dowodów i zapisujesz pozostałe luki.
Pytanie z rozmowy o tym zawodzie. Co robisz, gdy brakuje logów z jednego systemu?
Zapisuję lukę, szukam dozwolonych źródeł uzupełniających i przekazuję, jak brak wpływa na ocenę.
Poproś rozmówcę, żeby powtórzył, co już potwierdzono i od jakiej informacji zależy następny krok.
Sprawdź się — opcjonalne pytanie
Co sprawdzasz po zmianie reguły?
- Czy ogranicza szum i nadal sygnalizuje potrzebne zdarzenia
- Czy ma krótszą nazwę
- Czy każdy wcześniejszy alert znika
Pokaż odpowiedź i wyjaśnienie
Czy ogranicza szum i nadal sygnalizuje potrzebne zdarzenia. Usprawnienie powinno zachować istotną zdolność wykrywania.
Zadanie końcowe
Wykorzystaj sposób pracy z przypadku „Zmiana uprawnień przypada na okno serwisowe” w zadaniu rekrutacyjnym.
Do SOC trafiają alert o zmianie uprawnień i zgłoszenie niedostępnego konta pracownika. Zespół IT zgłasza zaplanowane prace, ale czas i zakres nie są jeszcze potwierdzone. Przygotuj notatkę do eskalacji.
- Przyjmij eskalację
- Rozwiń oś zdarzeń
- Przekaż decyzję
Pokaż kryteria wykonania
- Oddzielasz alerty od potwierdzonych działań.
- Sprawdzasz właściciela, harmonogram i zasoby objęte zmianą.
- Opisujesz zakres niepewności oraz warunek eskalacji.
Jak sprawdzić odpowiedź na głos?
Jak odróżniasz alert od incydentu?
Uzupełniam kontekst, sprawdzam niezależne zdarzenia i stosuję zasady kwalifikacji. Alert jest punktem wyjścia.