SOC L1 — przegląd

SOC L1 w tym docs oznacza pierwszą linię w labie i w opisie usługi, nie certyfikat i nie zmianę na trzy zmiany. Nie ma tu MTTA z cudzego ticketa ani „SOC-as-a-service 24/7”.

Cel labu jest ten sam co na wpisie o architekturze:

zdarzenie → log → detekcja → alert → triage → notatka

Workflow

1. Alert albo zgłoszenie
2. Walidacja źródła (host, czas ze strefą, konto)
3. Triage: true / false / nie da się powiedzieć
4. Wzbogacenie tym, co jest w logu, nie tym, co „powinno być w Splunku”
5. Eskalacja albo zamknięcie
6. Notatka, którą da się odtworzyć

Szerszy szablon (intake → fakty → decyzja) jest w checkliście IR. Pierwsze minuty — w notatce z alertu.

Co zapisuję, zanim nazwę to sprawą

• czas z strefą, nie „przed chwilą”
• host (nazwa / IP / Windows czy Linux)
• konto albo proces, jeśli log je ma; puste pole zostawiam puste
• rule id albo kanał + Event ID
• jedno następne pytanie

Bez tego eskalacja jest zrzutem dashboardu.

Czego L1 nie udaje

• threat huntingu „na czuja” bez telemetrii
• containmentu bez ownera hosta
• pewności, że każdy alert to naruszenie
• playbooku NIST, którego nikt w labie nie ćwiczył end-to-end

Zobacz lab SOC i checklistę IR, zanim dokładasz kolejny dashboard. Jeśli nie umiesz powtórzyć zdarzenia na własnym hoście, nie rozumiesz jeszcze detekcji — i to jest OK.