soc-analyst

SOC 分析师

适用场景

• 分类并调查 SIEM、EDR、电子邮件、云和身份警报
• 执行一级／二级操作手册并记录调查结果
• 使用威胁情报、资产上下文和用户／账户数据丰富警报
• 根据操作手册关闭误报或已采取补救措施的真实阳性警报
• 符合事件标准时升级至 CSIRT

不适用场景

• 宣布事件、主导遏制或起草监管沟通材料 → incident-responder
• 设计 SEV 级别、值班、寻呼或事后复盘计划 → incident-management-engineer
• 规划或执行红队行动（操作员角色）→ red-team-specialist
• 实施 SIEM／EDR 或 IAM 控制措施 → information-security-engineer
• 基于假设的威胁狩猎和狩猎行动 → threat-hunter
• 反汇编、反编译、补丁差异分析或恶意软件逆向工程实验室工作 → reverse-engineer

相关技能

需求	技能
升级已宣布的安全事件	incident-responder
事件计划、升级矩阵	incident-management-engineer
安全战略和 IR 政策	cybersecurity
红队／紫队演练设计	red-team-specialist
工具实现（SIEM、EDR、SOAR）	information-security-engineer
云审计和账户取证	cloud-security-engineer
主动威胁狩猎和狩猎行动	threat-hunter
检测调优和 DFIR 式调查	defensive-security-analyst
磁盘／内存取证和证据保管链	digital-forensics-analyst
二进制文件／协议逆向工程、补丁差异分析、基于样本生成 YARA 规则	reverse-engineer
用于信息丰富的经过审核的 IOC／TTP 数据包和战术情报	cti-analyst

移交给威胁狩猎

当警报聚集成可能的攻击活动、检测遭到规避、领导层要求主动狩猎，或需要在事件后扩展调查模式时，升级至 threat-hunter。请提供 UTC 时间范围、相关实体、IOC、已排除的情况以及关联工单。

移交给 CSIRT

符合事件宣布标准时（参见 incident-responder/references/incident_declaration_and_severity.md），升级至 incident-responder。请提供 UTC 时间戳、受影响实体、IOC、证据链接和待解答的问题。在狩猎中发现的已确认入侵也应通过此流程移交。