יום בחיי אנליסט SOC – משלב הזיהוי ועד התגובה

בעולם הסייבר הארגוני, מרכז ה-SOC הוא קו ההגנה הראשון מפני מתקפות בזמן אמת.
רבים מדמיינים את עולם הסייבר כחדר חשוך עם אנשים בקפוצ'ונים שמקלידים במהירות מטורפת על מסכים ירוקים. במציאות, הלב הפועם של אבטחת המידע הארגונית הוא
ה-SOC (Security Operations Center). זהו חדר המלחמה של הארגון, המקום שבו הטכנולוגיה פוגשת את הגורם האנושי כדי לזהות ולעצור מתקפות בזמן אמת.
תפקידו של אנליסט ה-SOC הוא להיות "העיניים" של הארגון, ולנהל אירועים תחת לחץ בצורה מתודית ומדויקת. כך נראה יום טיפוסי במשמרת, שלב אחר שלב.

1. תחילת המשמרת: "החלפת ידיים" ותמונת מצב

היום של אנליסט מתחיל בדרך כלל ב-Handover (חפיפה). המשמרת הקודמת מעדכנת על אירועים חריגים שקרו בלילה, על התראות שעדיין פתוחות ועל מודיעין חדש לגבי קבוצות תקיפה פעילות. האנליסט מתיישב מול הדשבורדים של מערכת ה-SIEM (כמו Splunk או ELK Stack) ומקבל תמונת מצב ויזואלית של הרשת. הוא בודק את ה-Health Check של המערכות ומוודא שכל הלוגים נכנסים כסדרם.

2. שלב הזיהוי: ההתראה קופצת

השקט היחסי נשבר כאשר מערכת ה-SIEM מזהה קורלציה חשודה ומייצרת "Alert" (התראה). לדוגמה: המערכת מזהה משתמש שמנסה להתחבר 50 פעמים בשנייה לשרת רגיש, או תעבורה מוזרה שיוצאת מהארגון לשרת לא מוכר בחו"ל. בשלב זה, האנליסט רואה את ההתראה על המסך, הכוללת את רמת החומרה (Low, Medium, High, Critical) ומידע ראשוני על האירוע.

3. שלב המיון הראשוני: אמת או שקר?

זהו אחד השלבים הקריטיים בעבודת האנליסט. לא כל התראה היא תקיפה. לעיתים מדובר ב-False Positive (התראת שווא), כמו עובד ששכח את הסיסמה שלו או מנהל רשת שמבצע תחזוקה לגיטימית. האנליסט מבצע חקירה ראשונית: הוא בודק את כתובות ה-IP המעורבות, מצליב נתונים מול מערכות אחרות ומחליט האם "להסלים" (Escalate) את האירוע לחקירה מלאה או לסגור אותו. עבודה זו דורשת הבנה מעמיקה של פרוטוקולי תקשורת וניתוח לוגים.

4. שלב החקירה: צלילה לעומק

ברגע שהוחלט שמדובר באירוע אמיתי (True Positive), האנליסט הופך לחוקר. הוא משתמש בכלי ה-SIEM כדי לבצע Drill-down לתוך הלוגים. הוא מחפש תשובות לשאלות:

• מאיפה הגיעה התקיפה? (כתובת המקור)
• איזה נזק נעשה? (האם נגנב מידע? האם הוצפנו קבצים?)
• האם התוקף עדיין בתוך הרשת? בשלב זה, האנליסט עשוי להשתמש גם בכלי EDR המותקנים על תחנות הקצה כדי לראות אילו תהליכים רצים על המחשב החשוד ולבצע ניתוח התנהגותי.

5. שלב התגובה וההכלה

לאחר שהתמונה ברורה, עוברים לפעולה אקטיבית כדי לעצור את הדימום. אם זוהה מחשב נגוע בנוזקה, האנליסט יבצע פעולות בלימה (Mitigation):

• בידוד המחשב מהרשת באמצעות ה-EDR.
• חסימת כתובת ה-IP של התוקף ב-Firewall.
• איפוס סיסמאות למשתמשים שנפגעו. תהליך זה נקרא לעיתים DFIR (Digital Forensics and Incident Response), והוא דורש קור רוח ומהירות תגובה.

6. סיום ודיווח: הפקת לקחים

לאחר שהאיום נוטרל, העבודה לא נגמרת. האנליסט מתעד את כל השתלשלות האירוע במערכת ניהול האירועים (Ticketing System). הוא כותב דו"ח שמפרט מה קרה, איך זה טופל, והכי חשוב – המלצות איך למנוע את המקרה הבא (למשל: עדכון חוקים ב-Firewall או הקשחת נהלי אבטחה).

חיבור לפרקטיקה המקצועית (מתוך תוכנית הלימודים)

היכולת לנהל את מחזור החיים של אירוע סייבר לא נרכשת מקריאת ספרים בלבד. תוכנית ההכשרה בנויה כדי לדמות את שגרת היום הזו בדיוק:

• במודול Foundations of Digital Defense, לומדים את הבסיס: הקמת מערכות SIEM, ניתוח לוגים וזיהוי אירועים בזמן אמת.
• במודול Advanced Threat Detection & Response, מתרגלים את השלבים המתקדמים: שימוש ב-EDR, ציד איומים (Threat Hunting) וביצוע חקירות פורנזיות (DFIR).

היתרון הייחודי במסלול הוא ההתנסות המעשית בחברת הסייבר CYREBRO והשימוש בסימולטור TDX-Arena. הסטודנטים מתרגלים "מצבי אמת" במעבדות שמדמות SOC פעיל, מה שמאפשר להם לחוות את הלחץ ואת האחריות של התפקיד עוד לפני יום העבודה הראשון.

הבנה מעשית של עבודת SOC היא חלק בלתי נפרד מהכשרה לתפקידי סייבר, ונרכשת במסגרת קורס סייבר מתקדם. למידע נוסף ניתן להיכנס לדף הקורס.