מה זה SOC ואיך מתחילים לעבוד כאנליסט SOC?

SOC (Security Operations Center) הוא מרכז ניטור ותגובה של אבטחת מידע: צוות שעוקב אחרי מה שקורה ברשת, בשרתים ובמחשבים של הארגון, מזהה סימנים לתקיפה ומטפל בהם לפני שהם הופכים לנזק. אנליסט SOC הוא מי שיושב מול ההתראות, מחליט מה אמיתי ומה רעש, ומפעיל את התגובה.

זו אחת מנקודות הכניסה הנפוצות לעולם הסייבר, ולא צריך ניסיון קודם בתקיפה כדי להתחיל בה. המדריך מסביר מה זה SOC, איך בנוי הצוות, איך נראה יום עבודה של אנליסט, אילו כישורים צריך ואיך מתחילים בלי ניסיון.

מה זה SOC?

SOC הוא ראשי תיבות של Security Operations Center, ובעברית מרכז תפעול אבטחה. אפשר לחשוב עליו כמו על חדר הבקרה של מערכת אבטחה בבניין: מצלמות וחיישנים יש בכל מקום, אבל מישהו צריך להסתכל על המסכים, להבין מה הוא רואה ולהגיב. ב-SOC החיישנים הם לוגים: רישומי כניסה למערכות, תעבורת רשת, התראות של אנטי-וירוס ו-EDR, אירועים מהענן ומחומות האש.

יש כמה צורות נפוצות:

• SOC פנימי - צוות של הארגון עצמו, שמכיר היטב את המערכות שלו.
• SOC מנוהל (MSSP) - חברת שירות שמנטרת עבור כמה לקוחות במקביל. אנליסט מתחיל רואה שם הרבה סוגי סביבות בזמן קצר.
• מודל משולב - הארגון מחזיק צוות קטן ומעביר את הניטור בשעות הלילה לספק חיצוני.

בישראל נפוץ גם השם מיישם הגנה בסייבר למסלולי הכשרה שמכינים לתפקידי הגנה, ובראשם עבודה ב-SOC. השם מתאר היטב את העבודה: לא פורצים למערכות, אלא מיישמים את ההגנה עליהן ומזהים מי שמנסה לעקוף אותה.

הדרגים ב-SOC: מה ההבדל בין L1, L2 ו-L3?

רוב צוותי ה-SOC מחולקים לדרגים, כדי שהתראות פשוטות ייסגרו מהר ומקרים מורכבים יגיעו לאנשים המנוסים.

• L1 - אנליסט ניטור: מקבל את ההתראות, בודק כל אחת לפי נוהל, סוגר התראות שווא ומעביר הלאה מקרים חשודים עם תיעוד מסודר. זה התפקיד שבו מתחילים.
• L2 - חוקר אירועים (Incident Responder): מקבל את מה ש-L1 הסלים, חוקר לעומק, מבין את היקף האירוע ומוביל את הבלימה, למשל בידוד מחשב מהרשת או נעילת משתמש.
• L3 - מומחה: ציד איומים יזום, ניתוח נוזקות, כתיבת חוקי זיהוי חדשים ושיפור הכלים. לרוב אלה אנשים עם כמה שנות ניסיון.

מעל הדרגים עומד בדרך כלל מנהל SOC, שאחראי על הנהלים, על המשמרות ועל הקשר עם הנהלת הארגון. בצוותים קטנים הגבולות מטשטשים, ואנליסט אחד עושה גם ניטור וגם חלק מהחקירה.

איך נראה יום עבודה של אנליסט SOC?

העבודה בנויה סביב מחזור קבוע: התראה, בדיקה, החלטה ותיעוד.

התראות וטריאז'

מערכת SIEM אוספת לוגים מכל הארגון ומריצה עליהם חוקים. כשחוק מזהה משהו חריג, למשל עשרות ניסיונות כניסה כושלים למשתמש אחד, נכנסת התראה לתור. הטריאז' (Triage) הוא המיון הראשון: האם זו תקיפה, טעות של משתמש או התראת שווא? כדי להבין איך זה נראה בפועל כדאי לראות מערכת SIEM מבוססת ElasticSearch בעבודה, עם חיפוש בלוגים ובניית תצוגות.

קריאת לוגים של Windows

חלק גדול מהבדיקה הוא קריאת אירועים של Windows. מספרי אירועים כמו 4624 (כניסה מוצלחת), 4625 (כניסה כושלת) ו-4688 (יצירת תהליך חדש) חוזרים שוב ושוב, ומי שמכיר אותם מבין מהר מה קרה במחשב. נקודת הפתיחה הטובה ביותר היא יומן האירועים של Windows (Event Viewer), כי זה בדיוק המידע שה-SIEM אוסף מכל המחשבים.

הסלמה ותגובה לאירוע

כשהבדיקה מעלה שמדובר באירוע אמיתי, האנליסט פותח אירוע, מתעד את הממצאים ומסלים לפי הנוהל. מכאן הארגון עובר על שלבי התגובה המוכרים: הכנה, זיהוי, בלימה, ניקוי, התאוששות והפקת לקחים. הסדר הזה מונע מצב שבו כולם רצים לכבות שריפות בלי תוכנית, והוא מוסבר צעד אחר צעד בהרצאה שלבי טיפול באירוע של אבטחת מידע.

ציד איומים

לא כל תקיפה מפעילה התראה. בזמנים שקטים, ובעיקר בדרגים הגבוהים, מחפשים באופן יזום סימנים לתוקף שכבר נמצא ברשת: תהליכים חריגים, חיבורים לכתובות לא מוכרות, משתמש שמתחבר בשעות מוזרות. העבודה הזאת נקראת ציד איומים (Threat Hunting), והיא נשענת על היכרות טובה עם מה שנראה רגיל בארגון.

מרכזי SOC רבים פועלים מסביב לשעון, ולכן עבודה במשמרות, כולל לילות וסופי שבוע, נפוצה בתפקידי L1.

אילו כישורים צריך אנליסט SOC?

• רשתות - TCP/IP, פורטים, DNS, HTTP ו-HTTPS. בלי זה אי אפשר להבין לוג של חומת אש או תעבורה חשודה. תרגול טוב הוא האזנה לרשת עם Wireshark ו-tcpdump.
• Windows ו-Active Directory - משתמשים, קבוצות, הרשאות, שירותים ותהליכים. רוב האירועים בארגון קורים כאן.
• יסודות Linux - שרתים רבים רצים על Linux, וכך גם חלק מכלי ה-SOC עצמם.
• הבנה של שיטות תקיפה - פישינג, ניחוש סיסמאות, נוזקות והעלאת הרשאות. מגן שמבין איך תוקפים חושבים מזהה אותם מהר יותר. מסגרת MITRE ATT&CK היא השפה המשותפת לתיאור הטכניקות האלה.
• מושגי יסוד באבטחת מידע - חולשה, איום, סיכון, IOC ועוד. אם המונחים עוד לא מוכרים, שווה להתחיל במונחים חשובים בעולם אבטחת מידע.
• כתיבה ותיעוד - דוח ברור על מה נמצא ומה נעשה חשוב כמו הממצא עצמו.
• אנגלית טכנית וסקרנות - רוב החומר, הכלים וההתראות באנגלית, והאנליסטים הטובים הם אלה שלא מפסיקים לשאול למה משהו קרה.

איך מתחילים לעבוד ב-SOC בלי ניסיון?

מסלול מעשי, צעד אחר צעד:

1. בונים בסיס בתשתיות - Windows, רשתות ו-Linux. מי שעבד בתמיכה טכנית מגיע עם יתרון ברור, כי הוא כבר מכיר איך נראית רשת ארגונית מבפנים.
2. מקימים מעבדה ביתית - מכונה וירטואלית של Windows, מכונת Linux ו-SIEM שאפשר להריץ בבית, כמו Elastic. ההרצאה התקנת תוכנות לקורס SOC מראה מה מתקינים כדי לתרגל.
3. לומדים לקרוא לוגים - מייצרים בעצמכם אירועים (כניסה כושלת, יצירת משתמש, הרצת PowerShell) ומחפשים אותם ב-Event Viewer וב-SIEM.
4. מבינים את הצד התוקף - מריצים במעבדה תקיפות פשוטות ובודקים אילו עקבות הן משאירות. כך לומדים לזהות אותן.
5. מתרגלים תרחישים - אתרי תרגול כמו TryHackMe מציעים מסלולים ותרגילים של Blue Team שמדמים עבודה ב-SOC.
6. שוקלים הסמכה - לא חובה, אבל היא מסדרת את החומר. CompTIA Security+ היא הסמכת בסיס מוכרת, ו-CompTIA CySA+ מתמקדת בעבודת אנליסט.
7. מתכוננים לראיון - בראיון ל-L1 נותנים לרוב לוג או התראה ושואלים מה הייתם עושים. מתרגלים להסביר את הדרך: מה בודקים, באיזה סדר ומתי מסלימים.

קורס SOC: מה כדאי שיכלול?

כשבוחרים קורס SOC או מסלול של מיישם הגנה בסייבר, כדאי לוודא שיש בו עבודה מעשית עם SIEM, קריאת לוגים של Windows, תהליך מסודר של תגובה לאירוע וציד איומים, ולא רק תיאוריה. חשוב גם בסיס של רשתות ושל שיטות תקיפה, כי אנליסט שלא מבין איך תקיפה נראית מהצד השני יתקשה לזהות אותה.

מאיפה מתחילים?

קורס SOC מיישם הגנת סייבר של PracticU עובר על הליבה של העבודה שתוארה כאן: הקמת סביבת תרגול, שלבי טיפול באירוע, מערכת SIEM על ElasticSearch, יומן האירועים של Windows וציד איומים. מי שרוצה להכיר גם את צד התוקף, מסריקת רשת ועד העלאת הרשאות, ימצא אותו בקורס סייבר למתחילים. צפו בהרצאה בראש העמוד כדי לראות אם הקצב והסגנון מתאימים לכם.