SOC analyst

Wat is een SOC-analist?

Een SOC-analist (Security Operations Center-analist) is een cybersecurityspecialist die beveiligingsmeldingen onderzoekt en bepaalt of er daadwerkelijk sprake is van een cyberdreiging. De analist combineert signalen uit bijvoorbeeld endpoints, firewalls, cloudomgevingen en identity-systemen om te bepalen wat er gebeurt, hoe ernstig het is en welke actie nodig is.

De SOC-analist vormt daarmee de menselijke laag achter een Security Operations Center (SOC). Securitytools kunnen afwijkend gedrag detecteren, maar uiteindelijk moet iemand de context begrijpen en bepalen of een melding onschuldig is of het begin van een aanval.

Wat doet een SOC-analist?

Het werk van een SOC-analist begint meestal met een security alert.

Zo'n alert is nog geen incident. Een detectieregel kan bijvoorbeeld signaleren dat een gebruiker op een ongebruikelijke locatie inlogt, dat een endpoint afwijkend gedrag vertoont of dat binnen korte tijd meerdere mislukte authenticatiepogingen plaatsvinden.

De analist moet vervolgens bepalen wat die signalen betekenen.

Daarvoor onderzoekt een SOC-analist bijvoorbeeld:

• Welke gebruiker of welk systeem is betrokken?
• Wat gebeurde er vóór en na de alert?
• Is dit gedrag normaal voor deze gebruiker?
• Zijn er andere systemen of accounts geraakt?
• Komt het IP-adres, domein of bestand voor in threat intelligence?
• Past het gedrag bij bekende aanvalstechnieken?
• Is er daadwerkelijk actie nodig?

Dat onderscheid tussen detecteren en interpreteren is belangrijk. Een tool kan een alert genereren, maar een SOC-analist bepaalt de context en de juiste vervolgstap.

Van alert naar incident: zo werkt een SOC-analist

Een SOC-analist kijkt niet alleen naar één losse melding. Het doel is om verschillende signalen met elkaar te verbinden en zo het mogelijke aanvalspad te reconstrueren.

Een onderzoek verloopt grofweg als volgt:

Detectie → Triage → Onderzoek → Classificatie → Response → Evaluatie

1. Detectie

Securitydata uit bijvoorbeeld endpoints, firewalls, cloudomgevingen en identity-systemen wordt verzameld en gecorreleerd.

Een SIEM kan vervolgens patronen herkennen die mogelijk op een aanval wijzen en daar een alert van maken.

Maar daarmee is nog niet vastgesteld dat er daadwerkelijk iets mis is.

2. Triage

De SOC-analist beoordeelt de alert en voegt context toe.

Is het normale activiteit? Is het een false positive? Of zijn er aanwijzingen voor een echte aanval?

Niet iedere alert verdient dezelfde aandacht. Goede triage voorkomt dat analisten veel tijd verliezen aan ruis terwijl belangrijke signalen blijven liggen.

3. Onderzoek

Wanneer een melding verdacht blijkt, kijkt de analist verder dan de oorspronkelijke alert.

Logs, gebruikersactiviteiten, endpoints, netwerkgegevens en andere beschikbare databronnen worden met elkaar gecombineerd om te bepalen wat er precies is gebeurd.

Daarbij kan threat intelligence worden gebruikt om bijvoorbeeld een IP-adres, domein, bestand of aanvalsmethode van extra context te voorzien.

4. Classificatie

Vervolgens wordt bepaald hoe ernstig de dreiging is.

Binnen het SOC van Aumatics worden incidenten bijvoorbeeld ingedeeld van P1 tot en met P4. Een P1 is de zwaarste categorie en krijgt daarom de hoogste prioriteit.

Verdachte activiteiten worden daarnaast gekoppeld aan het MITRE ATT&CK-framework. Hierdoor kijkt de analist niet alleen naar een technische melding, maar ook naar de tactiek en techniek die een mogelijke aanvaller gebruikt.

5. Response en escalatie

Bij een bevestigd incident moet worden bepaald welke actie nodig is.

Afhankelijk van het incident kan bijvoorbeeld een account worden geblokkeerd, een endpoint worden geïsoleerd of aanvullend forensisch onderzoek nodig zijn.

De SOC-analist werkt hierbij volgens vooraf afgesproken escalatiepaden en responstijden. Dit valt onder incident response.

6. Evaluatie en verbetering

Het werk stopt niet zodra het incident is afgehandeld.

Een volwassen SOC onderzoekt ook waardoor de aanval kon plaatsvinden en of bestaande detecties voldoende werkten.

Op basis daarvan kunnen detectieregels worden aangepast of nieuwe detecties worden toegevoegd.

De SOC-analist helpt daardoor niet alleen een incident op te lossen, maar maakt de organisatie na ieder onderzoek beter voorbereid op een volgende aanval.

Een voorbeeld: verdachte Microsoft 365-login

Stel dat om 02:14 uur meerdere mislukte inlogpogingen plaatsvinden op het Microsoft 365-account van een medewerker.

Enkele minuten later lukt een login vanaf een IP-adres en locatie die niet eerder bij deze gebruiker zijn gezien.

Een detectiesysteem kan daar een alert voor genereren. Maar voor de SOC-analist begint het onderzoek dan pas.

De analist kan bijvoorbeeld controleren:

1. Waar komen de inlogpogingen vandaan?
2. Is de gebruiker normaal gesproken actief op dit tijdstip?
3. Is het gebruikte apparaat bekend?
4. Zijn er andere afwijkende authenticaties zichtbaar?
5. Zijn na de login mailboxregels, MFA-instellingen of rechten gewijzigd?
6. Heeft het account toegang gezocht tot andere systemen?
7. Zijn vergelijkbare activiteiten zichtbaar bij andere accounts?

Eén afwijkende login hoeft op zichzelf geen aanval te zijn. De gebruiker kan bijvoorbeeld op reis zijn.

Maar wanneer dezelfde login wordt gecombineerd met een onbekend apparaat, gewijzigde MFA-instellingen en verdachte activiteit binnen andere systemen ontstaat een heel ander beeld.

Dat is precies waarom een SOC meer is dan alleen securitysoftware: de waarde zit in het combineren van signalen, context en menselijk oordeel.

Hoe werkt dit binnen het SOC van Aumatics?

Binnen het 24/7 Security Operations Center van Aumatics worden logs en events uit onder andere endpoints, firewalls, cloudomgevingen en identity-systemen verzameld en gecorreleerd.

Wanneer een detectie een alert genereert, valideert een analist de melding en wordt deze geclassificeerd op severity van P1 tot en met P4.

False positives worden uitgefilterd. Bij daadwerkelijke dreigingen wordt het gedrag gekoppeld aan MITRE ATT&CK om beter te begrijpen welke aanvalstechniek wordt gebruikt en waar de aanvaller zich mogelijk in het aanvalspad bevindt.

Bij een bevestigd incident volgt het afgesproken escalatiemodel. Voor een P1-incident geldt binnen de dienstverlening van Aumatics een responstijd van maximaal 15 minuten.

Daarna stopt het proces niet.

Na incidenten wordt gekeken naar de root cause en het attack path. Bestaande detectieregels kunnen worden aangescherpt en nieuwe regels worden toegevoegd.

Hierdoor is het werk van een SOC-analist niet alleen reactief. Het doel is dat de detectieomgeving continu leert van eerdere incidenten.

Wat is het verschil tussen L1-, L2- en L3-SOC-analisten?

Niet iedere SOC-analist behandelt dezelfde incidenten. Veel SOC's werken daarom met verschillende expertiseniveaus.

• L1 / Tier 1: monitoring en eerste triage. Alerts valideren, context verzamelen en false positives uitsluiten.
• L2 / Tier 2: verdiepend onderzoek. Logs correleren, scope bepalen en mogelijke aanvalspaden onderzoeken.
• L3 / Tier 3: complex onderzoek. Geavanceerde aanvallen onderzoeken, threat hunting en detecties verbeteren.

De precieze taakverdeling verschilt per SOC. Niet iedere organisatie gebruikt daarom letterlijk een L1/L2/L3-model.

Belangrijker is dat een volwassen SOC voldoende expertise heeft voor zowel eerste triage als diepgaand onderzoek, threat hunting, incident response en detection engineering.

Een SOC-analist kijkt verder dan één alert

Een veelgemaakte fout is om een SOC-analist te zien als iemand die de hele dag alerts op een dashboard wegklikt.

Dat zou juist een slecht functionerend SOC zijn.

Een ervaren analist probeert gebeurtenissen in samenhang te begrijpen.

Een mislukte login kan onschuldig zijn. Een mislukte login gevolgd door een succesvolle authenticatie vanaf een onbekende locatie is interessanter. Wanneer daarna privileges veranderen, een endpoint afwijkend gedrag vertoont en grote hoeveelheden data worden benaderd, ontstaat een mogelijk aanvalspad.

Daarom is de kwaliteit van een SOC niet alleen afhankelijk van hoeveel alerts worden gegenereerd, maar vooral van de kwaliteit van:

• de aangesloten databronnen;
• de detectieregels;
• de context rond een organisatie;
• de triage;
• de expertise van analisten;
• de snelheid van escalatie;
• en de verbetering na incidenten.

Dit is ook het belangrijkste verschil tussen alleen een SIEM aanschaffen en daadwerkelijk een SOC organiseren. Meer daarover lees je in SIEM vs. SOC: wat is het verschil?.

Moet je SOC-analisten zelf in dienst hebben?

Niet noodzakelijk.

Een organisatie kan een eigen SOC opbouwen en zelf analisten aannemen. Daarvoor zijn echter meer mensen nodig dan één of twee securityspecialisten.

Voor 24/7 monitoring moet je rekening houden met nacht-, weekend- en feestdagendiensten, ziekte, verlof, training en escalatie naar verschillende expertiseniveaus. Daarnaast zijn onder andere SIEM-, EDR/XDR- en threat-intelligence-tooling, processen, detectieregels en incidentresponseplaybooks nodig.

Organisaties kunnen daarom kiezen tussen:

• een volledig intern SOC;
• een co-managed model waarbij het interne team samenwerkt met een externe provider;
• een volledig managed SOC.

Wil je die modellen vergelijken? Lees zelf een SOC bouwen of uitbesteden of bekijk het verschil tussen een co-managed en volledig managed SOC.

Veelgestelde vragen over SOC-analisten

Wat betekent SOC-analist?

SOC staat voor Security Operations Center. Een SOC-analist is een cybersecurityspecialist die securitymeldingen onderzoekt, dreigingen valideert en helpt bepalen welke respons nodig is bij een mogelijk beveiligingsincident.

Wat doet een SOC-analist?

Een SOC-analist analyseert alerts en combineert informatie uit verschillende securitysystemen om te bepalen of er sprake is van een echte dreiging. Bij een bevestigd incident onderzoekt de analist de omvang en impact en wordt de juiste response of escalatie gestart.

Wat is het verschil tussen een SOC-analist en een SIEM?

Een SIEM is technologie; een SOC-analist is de specialist die securitydata interpreteert. Het SIEM verzamelt en correleert gebeurtenissen en genereert alerts. De analist onderzoekt vervolgens wat die alert betekent en welke actie nodig is.

Wat is het verschil tussen L1, L2 en L3 SOC-analisten?

L1 richt zich doorgaans op monitoring en eerste triage. L2 voert verdiepend onderzoek uit naar verdachte activiteiten en incidenten. L3 behandelt complexere dreigingen en kan zich daarnaast bezighouden met threat hunting en het verbeteren van detecties.

Werkt een SOC-analist 24/7?

Wanneer een organisatie 24/7 SOC-monitoring afneemt, moet er ook buiten kantooruren capaciteit beschikbaar zijn om relevante alerts te beoordelen. Dit wordt doorgaans georganiseerd met verschillende diensten en escalatieniveaus.

Kun je SOC-analisten uitbesteden?

Ja. In plaats van zelf een volledig SOC-team op te bouwen, kan een organisatie gebruikmaken van een managed SOC. Een externe SOC-provider voert dan bijvoorbeeld 24/7 monitoring, triage, onderzoek en afgesproken incident response uit.