שאלות נפוצות בראיון עבודה ל־SOC Analyst – כולל תשובות לדוגמה

איך לענות על שאלה תרחישית?

1. להגדיר בקצרה מה החשד.
2. לציין אילו לוגים ונתונים תבדקו.
3. להשוות לפעילות רגילה ולהקשר העסקי.
4. להעריך חומרה והשפעה.
5. להציע פעולת הכלה זהירה לפי נוהל.
6. לתעד ולהסלים כאשר נדרש.

מה ההבדל בין TCP ל־UDP?

תשובה לדוגמה: TCP הוא פרוטוקול מבוסס חיבור שמבצע Handshake ומספק סדר ואמינות. UDP אינו מקים חיבור ואינו מבטיח מסירה, ולכן הוא מהיר ופשוט יותר. בחקירה חשוב לדעת איזה פרוטוקול ושירות צפויים, משום שתעבורה חריגה יכולה להיראות אחרת בכל אחד מהם.

מהו SIEM?

תשובה לדוגמה: SIEM אוסף ומרכז אירועים ממקורות שונים, מאפשר חיפוש וקורלציה ומייצר התראות לפי כללים. הוא אינו מחליט לבדו אם יש אירוע; האנליסט צריך לבדוק הקשר, איכות הנתונים והתנהגות המשתמש או המערכת.

קיבלת התראת התחברות חריגה. מה תבדוק?

• ✓שם המשתמש, זמן, כתובת IP ומיקום.
• ✓האם המכשיר מוכר והאם היה VPN.
• ✓היסטוריית התחברויות והצלחות או כישלונות סמוכים.
• ✓שינויי סיסמה, MFA ופעילות לאחר ההתחברות.
• ✓האם המשתמש נסע או עובד מרחוק.
• ✓פעולות חריגות כגון הורדה, הרשאות או יצירת משתמש.

תשובה טובה תוסיף שלא חוסמים מיד משתמש קריטי בלי לבדוק הקשר ונוהל, אלא אם יש אינדיקציה ברורה וסמכות לבצע הכלה.

כיצד חוקרים הודעת פישינג?

• ✓בודקים שולח, כתובת Reply-To ונתיב ההודעה.
• ✓משווים דומיין ושגיאות כתיב.
• ✓בודקים קישורים וקבצים בסביבה בטוחה.
• ✓מחפשים הודעות דומות אצל משתמשים נוספים.
• ✓בודקים האם המשתמש לחץ או הזין פרטים.
• ✓מתעדים Indicators ומבצעים חסימה או איפוס לפי צורך.

מה ההבדל בין Hash להצפנה?

תשובה לדוגמה: הצפנה מיועדת להיות הפיכה באמצעות מפתח מתאים. Hash הוא פונקציה חד־כיוונית שמפיקה ערך קבוע יחסית ומשמשת בין היתר לבדיקת שלמות ולשמירת סיסמאות בצורה נגזרת. בחקירה אפשר להשתמש ב־Hash לזיהוי קובץ ולהשוואה למקורות מודיעין.

מהם False Positive ו־True Positive?

True Positive הוא זיהוי נכון של פעילות זדונית או חריגה רלוונטית. False Positive הוא אירוע לגיטימי שהפעיל כלל. חשוב לא לסגור התראה רק מפני שהיא נפוצה; יש לבדוק ראיות ולתעד מדוע היא לגיטימית.

מה תעשה אם אינך יודע את התשובה?

אפשר לומר: איני בטוח, אך הייתי מתחיל בבדיקת המקורות הבאים, משווה להתנהגות רגילה ומתייעץ לפי נוהל. תשובה כזו טובה יותר מהמצאת עובדה. SOC דורש עבודה מדויקת והסלמה נכונה.

שאלות התנהגותיות

• ✓ספרו על תקלה שחקרתם וכיצד ניגשתם אליה.
• ✓כיצד אתם מתעדפים כמה משימות במקביל?
• ✓כיצד אתם מגיבים לביקורת על דוח שכתבתם?
• ✓מה אתם עושים כשנוהל אינו ברור?
• ✓כיצד אתם ממשיכים ללמוד תחום שמשתנה במהירות?

סיכום

הכנה טובה לראיון SOC משלבת חזרה על יסודות עם תרגול של הסבר תרחישים בקול. אל תשננו תשובות בלבד; תרגלו סדר חקירה, תיעוד והחלטה מתי להסלים.

שאלות ותשובות

מקורות

• NIST — Computer Security Incident Handling Guide
• MITRE ATT&CK
• CISA — Phishing Guidance