Аналитику SOC L1 приходится принимать решения в условиях неполной информации и ограниченного времени. Разбираем, как когнитивные искажения влияют на анализ алертов и какие практики помогают избегать ошибок.
Введение
Аналитик SOC получает очередной алерт. Сценарий знакомый: похожие срабатывания уже встречались и обычно оказывались ложноположительными. Кажется, что и сейчас все понятно. Но достаточно ли этого, чтобы закрыть алерт? И не пропустил ли аналитик что-то важное, потому что слишком быстро нашел привычное объяснение?
Для работы в SOC L1 нужны знания сетей, операционных систем, SIEM и EDR, типов атак, логов и протоколов. Но техническая подготовка — только часть дела. Не менее важно правильно интерпретировать данные: учитывать контекст, устанавливать связи между событиями и проверять все гипотезы, даже если первая версия кажется убедительной.
