Qual é a diferença entre analista L1, L2 e L3 em um SOC?

O analista L1 realiza triagem inicial de alertas e aplica playbooks predefinidos. O L2 investiga alertas escalados, conduz análise de causa raiz e coordena a resposta a incidentes. O L3 atua em threat hunting proativo, análise forense avançada e desenvolvimento de novas capacidades de detecção. A principal distinção está no grau de autonomia e profundidade técnica exigidos em cada nível.

Quantos analistas L1 são necessários para cada analista L2?

A proporção típica em SOCs maduros é de 3 a 5 analistas L1 por analista L2. Essa relação depende do volume de alertas, do nível de automação via SOAR e da taxa de escalonamento aceitável. SOCs com SOAR bem configurado podem operar com proporções menores, pois automação absorve parcela significativa do trabalho de triagem.

O que é um modelo de SOC 'tierless' (sem tiers)?

No modelo tierless, a distinção rígida entre L1, L2 e L3 é eliminada em favor de equipes multidisciplinares organizadas por domínio (endpoint, cloud, identidade etc.). Cada analista trata um incidente do início ao fim, eliminando o gargalo de escalonamento. Esse modelo requer analistas com perfil mais amplo e é viabilizado pela automação de tarefas repetitivas via SOAR e IA.

Quais métricas definem a performance de cada tier do SOC?

Para L1, as métricas centrais são MTTD (Mean Time to Detect), taxa de falsos positivos e volume de alertas por analista/hora. Para L2, destacam-se MTTR (Mean Time to Respond), taxa de contenção no primeiro escalonamento e precisão no fechamento de incidentes. Para L3, as métricas incluem número de novas regras de detecção criadas, cobertura MITRE ATT&CK e achados gerados por threat hunting.

Vale mais a pena ter um SOC próprio ou contratar um MDR?

SOC próprio oferece controle total sobre dados, customização de regras e conhecimento aprofundado do ambiente. Porém, requer investimento alto em pessoal, tecnologia e operação 24x7. MDR (Managed Detection and Response) entrega cobertura imediata, equipe especializada e custo previsível — sendo especialmente adequado para empresas sem maturidade ou escala para sustentar um SOC interno. Muitas organizações adotam modelo híbrido: SIEM/SOAR interno com cobertura MDR para o turno noturno ou especialidades específicas.

Como a automação e SOAR afetam a estrutura de tiers do SOC?

Plataformas SOAR automatizam até 80% das tarefas de L1 — triagem de alertas conhecidos, enriquecimento de IoCs e contenção inicial — reduzindo a necessidade de analistas de primeiro nível para trabalho manual. Isso desloca o valor humano para investigação contextual (L2) e criação de inteligência (L3). O efeito prático é a valorização de analistas com habilidades analíticas profundas, em detrimento de perfis puramente operacionais.

מבנה דרגות ב-SOC (Tier 1-3)

הבינו את המבנה ההיררכי של Security Operations Center, את האחריות של כל דרגה, את ההתקדמות בקריירה ואת הכישורים הנדרשים.

מבנה דרגות ב-SOC (Tier 1-3)

מבנה הדרגות של Security Operations Center מגדיר אחריות ברורה, תהליכי הסלמה יעילים ומסלולי התקדמות קריירה מוגדרים היטב.

Tier 1: אנליסטים בקו הראשון

אנליסטים בדרגת Tier 1 הם קו ההגנה הראשון, ומבצעים מיון ראשוני של התרעות וניטור רציף 24x7.

ניטור התרעות: ניתוח אירועים מ-SIEM, IDS/IPS, EDR
מיון ראשוני: סיווג של false positives מול true positives
תגובה לפי playbooks: ביצוע נהלים סטנדרטיים
תיעוד: רישום מפורט של כל האירועים
הסלמה: העברת מקרים מורכבים ל-Tier 2

Tier 2: אנליסטים לתגובה לאירועים

אנליסטים בדרגת Tier 2 מבצעים חקירות מעמיקות ומתאמים את התגובה לאירועים מורכבים יותר.

חקירה מעמיקה: ניתוח פורנזי, מתאם בין אירועים
ניתוח נוזקות: הנדסה הפוכה בסיסית, ניתוח התנהגותי
Threat hunting: Threat hunting יזום מבוסס היפותזות
תיאום תגובה: תזמור של בלימה ותיקון
שיפור זיהויים: יצירה וכוונון של חוקי SIEM

Tier 3: מומחים ו-Hunters

Tier 3 כולל מומחים המטפלים באיומים מתקדמים ומפתחים את יכולות ה-SOC.

APT ואיומים מתקדמים: חקירת קמפיינים מתוחכמים
ניתוח פורנזי מתקדם: Memory forensics, timeline reconstruction
פיתוח זיהויים: יצירת חתימות וחוקים חדשים
Threat intelligence: ניתוח אסטרטגי של TTPs ושל גורמי איום
שיפור מתמיד: ייעול של תהליכים וכלים

כישורים לפי דרגה

Tier 1

יסודות של רשתות ומערכות הפעלה
SIEM בסיסי (Splunk, QRadar, Sentinel)
ניתוח לוגים ואירועים
הסמכות: Security+, CEH, GIAC GSEC

Tier 2

פורנזיקה דיגיטלית וניתוח נוזקות
Scripting (Python, PowerShell)
מסגרות MITRE ATT&CK, Cyber Kill Chain
הסמכות: GCIH, GCIA, OSCP

Tier 3

הנדסה הפוכה מתקדמת
ארכיטקטורת אבטחה מורכבת
פיתוח כלים מותאמים אישית
הסמכות: GREM, GCFA, OSEE

מדדי ביצועים

MTTD (Mean Time To Detect): זמן ממוצע לזיהוי איומים
MTTR (Mean Time To Respond): זמן תגובה ממוצע
שיעור false positives: דיוק הזיהויים
כיסוי התרעות: % ההתרעות שנותחו במסגרת ה-SLA
הסלמה מתאימה: איכות ההסלמות בין הדרגות

התקדמות בקריירה

ההתקדמות הטיפוסית אורכת 2-3 שנים בכל דרגה, בהתאם לכישורים, להסמכות ולניסיון מעשי. Tier 3 יכול להתפתח לתפקידים של SOC Manager, Threat Hunter Lead או ארכיטקט אבטחה.

המלצות מסכמות

מבנה דרגות מוגדר היטב ממקסם את היעילות התפעולית, מאפשר צמיחה מקצועית מובנית ומבטיח שכל אירוע יקבל את רמת המומחיות המתאימה. השקעה בהכשרה מתמשכת ובתהליכי הסלמה ברורים היא חיונית להצלחת ה-SOC.

מבנה דרגות ב-SOC (Tier 1-3) | Decripte Security

מבנה דרגות ב-SOC (Tier 1-3)

Tier 1: אנליסטים בקו הראשון

Tier 2: אנליסטים לתגובה לאירועים

Tier 3: מומחים ו-Hunters

כישורים לפי דרגה

Tier 1

Tier 2

Tier 3

מדדי ביצועים

התקדמות בקריירה

המלצות מסכמות