De SOC en zijn niveaus

Niveau 1-analisten staan in de frontlinie. Ze bewaken de waarschuwingswachtrij, voeren een eerste triage uit en bepalen of een waarschuwing een valse positieve detectie, onschadelijk of escalatiewaardig is.

Ze volgen gedocumenteerde procedures en improviseren zelden. Belangrijke vaardigheden zijn onder andere snel logboeken lezen, veelvoorkomende aanvalspatronen herkennen en tickets zorgvuldig bijhouden.

Een goede analist van niveau 1 sluit ruis snel af en escaleert echte dreigingen met duidelijke, volledige notities.

Niveau 2-analisten behandelen waarschuwingen die vanuit niveau 1 zijn geëscaleerd. Ze onderzoeken die grondiger, brengen gebeurtenissen uit verschillende gegevensbronnen met elkaar in verband en bepalen de reikwijdte en impact.

Ze schakelen tussen logboeken om vragen te beantwoorden als: Wat gebeurde er eerst? Welke systemen en accounts zijn betrokken? Zijn er gegevens ingezien of geëxfiltreerd?

Niveau 2 is vaak bepalend voor de eerste beslissingen over indamming tijdens een actief incident.

Niveau 3 is de meest ervaren laag: jagers op dreigingen, malwareanalisten en forensische specialisten.

• Jagen op dreigingen — proactief zoeken naar dreigingen die aan detectie zijn ontsnapt
• Malwareanalyse — verdachte binaire bestanden reverse-engineeren
• Forensisch onderzoek — de activiteiten van aanvallers reconstrueren aan de hand van schijf, geheugen en logboeken

Niveau 3 verbetert ook de detecties door bevindingen terug te voeren naar de regelset.

Het SIEM (Security Information and Event Management)-platform is het centrale zenuwstelsel van de SOC. Het verzamelt, normaliseert en correleert logboeken uit veel bronnen en genereert waarschuwingen op basis van detectieregels.

Veelgebruikte bronnen van logboeken die een SIEM voeden:

Hulpmiddelen voor SOAR (Security Orchestration, Automation and Response) automatiseren repetitieve SOC-taken. Ze verminderen de vermoeidheid van analisten en versnellen de respons.

Veelvoorkomende automatiseringen:

• Een waarschuwing automatisch verrijken met dreigingsinformatie en context van het bedrijfsmiddel
• Een URL of hash opzoeken bij reputatiediensten
• Een systeem via de EDR met één klik isoleren
• Tickets automatisch openen en bijwerken

Automatisering neemt het mechanische werk over, zodat mensen zich op hun beoordelingsvermogen kunnen richten.

Dreigingen houden zich niet aan kantooruren, dus SOC's streven naar dekking 24/7. Twee veelvoorkomende modellen:

• Roulerende diensten — lokale analisten werken in dag-, avond- en nachtdiensten
• Follow-the-sun — overdrachten tussen SOC's in verschillende tijdzones, zodat elk team overdag werkt

Goede notities bij de overdracht van diensten zijn essentieel, zodat het volgende team context erft en geen verwarring.

Organisaties kunnen een SOC in eigen beheer opbouwen of het werk uitbesteden aan een Managed Security Service Provider (MSSP), soms ook MDR genoemd.

• In eigen beheer — diepgaande bedrijfscontext, volledige controle, hogere kosten en grotere personeelslast
• MSSP/MDR — kosteneffectieve dekking en brede expertise, maar minder kennis die specifiek is voor de omgeving

Veel organisaties kiezen voor een hybride model: niveau 2/3 in eigen beheer, met een MSSP die de bewaking op niveau 1 afhandelt.

Een duidelijk escalatiepad bepaalt wie wanneer wordt ingeschakeld. Een waarschuwing kan van niveau 1 naar niveau 2 gaan, en een bevestigd incident wordt geëscaleerd naar een incidentcommandant, de juridische afdeling, communicatie en de leiding.

Vastgelegde ernstniveaus (bijvoorbeeld SEV1 tot SEV4) leiden tot verschillende verwachtingen voor de respons. Als je het pad kent, voorkom je vertraging en paniek tijdens een echt incident.

Naast de niveaus omvat een volwassen SOC gespecialiseerde rollen:

• SOC-manager — verantwoordelijk voor personeelsbezetting, processen en prestatiecijfers
• Detectie-engineer — bouwt detectieregels en stelt ze af
• Analist voor dreigingsinformatie — volgt tegenstanders en levert context
• Incidentcommandant — coördineert de respons op grote incidenten

Deze rollen zorgen ervoor dat de SOC blijft verbeteren in plaats van alleen te reageren.

Je hebt geleerd hoe een SOC is opgebouwd:

• Een SOC bewaakt, detecteert, onderzoekt en bestrijdt dreigingen, 24/7
• Niveau 1 voert triage uit op waarschuwingen, niveau 2 onderzoekt escalaties en niveau 3 jaagt op dreigingen en doet forensisch onderzoek
• De SIEM centraliseert en correleert logboeken; SOAR automatiseert routinematig werk
• De dekking maakt gebruik van roulerende diensten of Follow-the-Sun, met goede overdrachten
• SOC's kunnen in eigen beheer, MSSP/MDR of hybride zijn, met duidelijke escalatiepaden en gespecialiseerde rollen

Vervolgens volg je een waarschuwing door de triagewerkstroom.