Belajar Security Analyst - Model SOC & Security Operations
Memahami berbagai model SOC (internal, virtual, managed), shift operations, playbooks operasional, dan bagaimana SOC berjalan efektif 24/7 dalam organisasi
#Pendahuluan
Setelah di episode 1 kita memahami peran Security Analyst dan struktur tier SOC, pada episode ini kita dalami bagaimana SOC beroperasi secara nyata — model-model SOC yang berbeda, shift operations, prosedur harian, dan playbooks yang menjaga konsistensi respons. Pemahaman tentang operasi SOC adalah jembatan antara "tahu apa itu SOC" dan "bekerja di SOC".
Mengapa pemahaman operasional penting? Karena SOC yang efektif bukan sekadar kumpulan orang dan tools — ia adalah sistem terstruktur dengan prosedur, metrik, dan improvement cycle. Tanpa ini, SOC hanya ruangan penuh layar yang tidak menghasilkan deteksi bermakna.
#Model SOC
#Internal SOC
SOC internal adalah tim keamanan yang sepenuhnya dimiliki dan dioperasikan oleh organisasi. Model ini memberikan kontrol penuh tetapi membutuhkan investasi besar.
| Kelebihan | Kekurangan |
|---|---|
| Kontrol penuh atas data & proses | Biaya tinggi (personnel, tools, infra) |
| Respons lebih cepat untuk internal | Sulit scale untuk organisasi kecil |
| Knowledge tetap di dalam organisasi | Butuh 24/7 staffing |
#Virtual SOC
Virtual SOC tidak memiliki lokasi fisik — tim bekerja dari remote dengan tools cloud-based. Model ini cocok untuk organisasi distributed atau yang ingin menghemat biaya infra.
#Managed SOC (MSSP/MDR)
Managed Security Service Provider (MSSP) mengoperasikan SOC untuk beberapa klien. Managed Detection and Response (MDR) adalah evolusi yang lebih proaktif.
| Model | Siapa Mengoperasikan | Cocok Untuk |
|---|---|---|
| Internal | Tim sendiri | Organisasi besar |
| Virtual | Tim remote | Organisasi distributed |
| MSSP | Vendor eksternal | Organisasi kecil-menengah |
| MDR | Vendor + analyst | Mau outsourced tapi tetap proaktif |
#Shift Operations
SOC beroperasi 24/7, yang berarti ada tiga shift utama di sebagian besar organisasi:
| Shift | Waktu | Karakteristik |
|---|---|---|
| Morning | 06:00 - 14:00 | Tim penuh, aktivitas normal |
| Afternoon | 14:00 - 22:00 | Transisi, aktivitas meningkat |
| Night | 22:00 - 06:00 | Minimal staff, alert kritis prioritas |
#Handover Process
Setiap pergantian shift harus dilakukan dengan handover yang terstruktur:
- Review alert yang belum selesai
- Update status insiden aktif
- Transfer knowledge tentang ancaman yang sedang ditangani
- Briefing prioritas untuk shift berikutnya
Tip
Handover yang buruk adalah penyebab utama insiden yang terlewat. Selalu buat catatan detail di setiap akhir shift — termasuk alert yang mungkin terlihat sepele tapi bisa menjadi petunjuk kritis di shift berikutnya.
#Prosedur Operasional Harian
#Alert Handling Workflow
#Maturity Model
SOC memiliki tingkat kematangan yang berbeda:
| Level | Karakteristik |
|---|---|
| L0 | Ad-hoc, tidak ada prosedur formal |
| L1 | Dasar: monitoring manual, alert handling |
| L2 | Defined: prosedur documented, playbooks ada |
| L3 | Managed: metrics, KPIs, continuous improvement |
| L4 | Optimized: AI-assisted, automation, proactive hunting |
#Penutup
Inti yang harus dibawa pulang:
- Ada empat model SOC: internal, virtual, MSSP, dan MDR.
- Shift operations membutuhkan handover yang terstruktur.
- Alert handling workflow harus terstandarisasi: triage → investigate → escalate/close.
- SOC maturity berkembang dari ad-hoc ke AI-assisted.
Di episode 3 selanjutnya kita akan membahas logging & telemetry — sumber data yang menjadi bahan bakar SOC, dari Windows Event Logs hingga Linux syslog, dan cara mengelola log secara efektif. Siapkan lab kalian karena kita mulai masuk ke hands-on!