Когда аналитику SOC следует эскалировать инцидент на Tier 2 или IR
Аналитику SOC следует эскалировать инцидент, когда уровень риска, неопределенности или объем требуемых действий выходят за рамки компетенции и возможностей Tier 1. Хорошая эскалация — это не «перекладывание проблемы», а передача организованного пакета расследования, включающего факты, доказательства, временную шкалу, предполагаемое воздействие, уже выполненные действия и четкий вопрос для следующей команды. В случае активной атаки, критически важного актива или подозрения на утечку, Incident Response немедленно привлекается в соответствии с процедурами.
В центре SOC одним из важнейших навыков является не только умение расследовать оповещение, но и умение вовремя прекратить самостоятельное расследование. Аналитик Tier 1, продолжающий работать слишком долго, может задержать сдерживание реального инцидента; аналитик, эскалирующий каждый мелкий признак, создает нагрузку, теряет доверие и затрудняет Tier 2 выявление критических случаев. Поэтому эскалация — это профессиональное решение, которое должно основываться на критериях, а не на интуиции.
Разделение ролей варьируется между организациями. Согласно рекомендациям Microsoft по процессам реагирования на инциденты, Tier 1 фокусируется на очередности инцидентов и триаже, Tier 2 проводит более глубокое расследование, а Tier 3 или Threat Hunting занимается сложными угрозами и проактивным поиском. NIST SP 800-61 Rev. 3 подчеркивает, что реагирование на инциденты — это организационная возможность, включающая координацию, ответственность, отчетность и постоянное улучшение. Отсюда вопрос не в том, «могу ли я открыть еще один экран», а в том, «кто должен принимать следующее решение и какую информацию он должен получить».
В этой статье мы построим практическую модель эскалации: технические триггеры, бизнес-влияние, пределы полномочий, пакет передачи, взаимодействие с заинтересованными сторонами и метрики для оценки качества эскалации.
