SOC-аналитик: кто это и чем занимается

SOC-аналитик - это специалист центра мониторинга безопасности, который следит за событиями в инфраструктуре компании и помогает отличать обычный шум от возможной угрозы. Он работает с SIEM, логами, EDR, тикетами, playbooks и incident reports. Его задача - не атаковать систему, а защищать её: проверить алерт, собрать контекст, понять серьёзность, закрыть false positive или эскалировать кейс L2/IR-команде.

SOC-аналитик разбирает алерты, проверяет источники событий, ищет соседние логи, собирает таймлайн, классифицирует событие и документирует результат. На L1 он чаще работает по playbook и эскалирует сложные случаи. На L2/L3 добавляются самостоятельный triage, incident report, threat hunting, detection tuning и коммуникация с IR/security engineering.

Junior/L1 SOC-аналитику нужны TCP/IP, DNS, HTTP, базовые Windows и Linux, понимание логов, SIEM basics, false positive, incident ticket, playbook и аккуратная эскалация. Работодатель ждёт не героя расследований, а человека, который не теряется в очереди алертов, фиксирует факты, соблюдает процесс и не перегружает L2 плохими эскалациями.

Удалёнка возможна, но для SOC она встречается реже, чем офис и гибрид. По данным SkillStat для Москвы и МО офис указан в 55% вакансий, гибрид - в 42%, удалёнка - в 3%. Это связано с закрытыми контурами, доступом к системам мониторинга, регламентами, сменами и требованиями безопасности.

Войти в SOC можно без сильного программирования, особенно на L1, но полностью игнорировать scripting не стоит. Python, Bash, PowerShell и SQL помогают читать данные, автоматизировать рутину, понимать события Windows/Linux и готовить отчёты. На старших уровнях automation и понимание запросного подхода становятся заметным преимуществом.

Стать SOC-аналитиком с нуля можно, но нужно закрыть базу: сети, DNS, HTTP, Windows, Linux, логи, события, SIEM и incident report. Для новичка SOC часто понятнее, чем пентест или security architecture, потому что L1-роль может начинаться с очереди алертов и playbooks. Но без практики с логами и defensive-кейсами резюме будет слабым.

ИИ не стоит рассматривать как прямую замену SOC-аналитикам, но он будет автоматизировать часть рутины: группировку похожих событий, enrichment, поиск похожих кейсов, черновики отчётов и подсказки для triage. Человек остаётся нужен для контекста, приоритета, ответственности, коммуникации и решения, когда событие действительно нужно эскалировать.

На собеседовании спрашивают TCP/IP, DNS, HTTP, Windows/Linux logs, Active Directory, SIEM, EDR, false positive, triage, escalation, phishing, PowerShell как источник событий, MITRE ATT&CK, incident report и сменную работу. Хороший ответ строится через источник события, контекст, проверку, решение и документацию, а не через опасные технические инструкции.

По данным SkillStat для Москвы и МО на срезе 23.06.2026 медианная зарплата SOC-аналитика составляет 175 000 ₽, выборка - n=2, диапазон - —–—. Это ориентир по активным вакансиям, а не гарантированная зарплата каждого уровня. Доход зависит от L1/L2/L3, сменного графика, SIEM/EDR, AD, incident report, threat hunting и detection tuning.

Тренироваться можно на Blue Team Labs, CyberDefenders, LetsDefend, TryHackMe Blue Team paths, учебных SIEM labs, Wazuh labs, локальных логах и безопасных датасетах. Работать нужно только с учебными или разрешёнными данными. Не используйте чужие системы и реальные чувствительные логи без разрешения: SOC - defensive-профессия, но юридические рамки всё равно важны.

Да, ночные смены возможны, особенно в 24/7 SOC, MSSP, банках, крупных enterprise и компаниях с непрерывным мониторингом. Не каждая вакансия требует ночей, но сменный график для SOC обычен. При выборе работы стоит смотреть график, handover, нагрузку, правила эскалации, компенсацию ночных смен и зрелость процессов.

SOC-аналитику полезно понимать SIEM, EDR/XDR, SOAR/IRP, NTA/NDR, IDS/IPS, WAF, Windows Event Log, Sysmon, Linux logs, AD logs, DNS logs, proxy, firewall, Wazuh, MaxPatrol SIEM, KUMA, Splunk, QRadar, ELK/OpenSearch и ticket systems. Важно не перечислить vendor names, а объяснить, какой сигнал даёт инструмент и как он помогает triage.

Реалистичный первый путь занимает 6-12 месяцев, если заниматься регулярно и собирать портфолио. За 1-3 месяца можно закрыть сети, ОС и основы логов. За 3-5 месяцев - SIEM, triage, false positives, incident report. За 5-12 месяцев - учебные кейсы, портфолио, собеседования и выбор специализации: L2, IR, threat hunting или detection engineering.

SOC-аналитик обычно работает с событиями, алертами, логами и первичным расследованием. Инженер информационной безопасности чаще отвечает за защитные меры, настройки, доступы, hardening, политики, внедрение инструментов и исправление рисков. SOC может передавать инженерной команде подтверждённые проблемы, а инженер ИБ помогает сделать среду устойчивее.

SOC-аналитик работает на стороне защиты и разбирает события в корпоративном периметре. Пентестер легально проверяет защищённость системы с позиции атакующего и готовит отчёт по найденным рискам. SOC отвечает за monitoring, triage, escalation и incident report, а пентестер - за проверку уязвимостей в согласованном scope. Это разные, но смежные роли кибербезопасности.

SOC-аналитик чаще обнаруживает и классифицирует событие, а incident responder глубже ведёт подтверждённый инцидент: containment, eradication, recovery, post-incident review. На L1/L2 SOC-аналитик готовит контекст и эскалацию, чтобы IR-команда не начинала с пустого места. На L3 граница может сближаться, особенно в небольших командах.

SIEM-аналитик обычно сфокусирован на SIEM: события, корреляции, правила, источники и отчёты. SOC-аналитик шире: он работает с очередью алертов, EDR, тикетами, playbooks, коммуникацией, эскалацией и incident report. В небольших командах роли могут совпадать, но SOC-аналитик отвечает за решение по событию, а не только за работу в SIEM.

Threat hunter проактивно ищет признаки угроз, которые могли не попасть в обычные правила и алерты. SOC-аналитик чаще работает с очередью событий и playbooks. На старших уровнях SOC-аналитик может заниматься hunting, но для этого нужны глубокие знания логов, инфраструктуры, MITRE ATT&CK, baseline и detection gaps.

Добавьте 3-5 безопасных кейсов: разбор учебного алерта, таймлайн подозрительного входа, phishing report без вредоносных деталей, DNS anomaly, EDR alert, Windows/Linux log analysis, dashboard, incident report и playbook. В каждом кейсе нужны источник данных, контекст, решение, что было false positive или escalation, и чему вы научились.

EDR - это endpoint detection and response, инструмент для наблюдения за рабочими станциями и серверами на уровне endpoint. SOC-аналитик использует EDR как источник контекста: какой host затронут, какой пользователь работал, какие события происходили рядом. EDR-алерт не всегда равен инциденту, поэтому нужен triage и связь с другими логами.

Escalation - это передача события или инцидента на следующий уровень: L2, IR, security engineer, владельцу системы или другой команде. Хорошая эскалация содержит факты: источник, время, affected assets, что проверено, какая гипотеза, какая severity и что требуется дальше. Плохая эскалация просто пересылает алерт без контекста.

False positive - это срабатывание, которое выглядит как риск, но после проверки не подтверждается как инцидент. В SOC false positives неизбежны: правила могут быть шумными, телеметрия неполной, а легитимные действия похожи на подозрительные. Хороший аналитик не просто закрывает такие события, а фиксирует причину и даёт feedback для tuning.

SIEM - это система, которая собирает, нормализует и коррелирует события безопасности из разных источников. Для SOC-аналитика SIEM является основной рабочей поверхностью: там появляются алерты, события, корреляции, контекст и кейсы. Но SIEM не заменяет мышление: аналитик должен проверить источник, соседние события, baseline и возможный false positive.

SOC - это Security Operations Center, центр мониторинга и реагирования на события информационной безопасности. В SOC собираются события из SIEM, EDR, сетевых систем, Active Directory, DNS, firewall, proxy, почтовых шлюзов и других источников. Задача SOC - не просто хранить логи, а быстрее находить значимые сигналы, расследовать их и передавать реальные инциденты в реагирование.

Triage в SOC - это первичная сортировка и проверка события: насколько оно важно, что известно, какие источники подтверждают сигнал, есть ли соседние события и нужна ли эскалация. Triage помогает не тратить одинаковое время на каждую тревогу. Главная цель - быстро и аккуратно отделить шум, аномалии и реальные инциденты.