Junior SOC Analyst werden

Alerts prüfen und priorisieren

Nicht jeder Alert ist ein echter Angriff. Ein großer Teil der täglichen Arbeit besteht darin, zwischen True Positives (echte Vorfälle) und False Positives (harmlose Ereignisse, die eine Regel ausgelöst haben) zu unterscheiden. Dazu schaust du auf den Kontext: Wer ist der Nutzer? Was macht das System normalerweise? Gibt es älternde Alerts des gleichen Typs? Passt das Ereignis in ein bekanntes Angriffsmuster wie Lateral Movement oder Credential Dumping?

Logs analysieren

Logs sind das Rohmaterial des SOC. Du liest Windows-Eventlogs (Anmeldeereignisse, Prozesse, Netzwerkverbindungen), Linux-Syslogs und Auth-Logs, Firewall- und Proxy-Logs sowie EDR-Telemetrie. Wichtig ist dabei nicht, jeden einzelnen Log-Eintrag auswendig zu kennen, sondern Abweichungen vom Normalzustand zu erkennen.

Tickets schreiben

Ein gutes Ticket erklärt, was beobachtet wurde, welche Systeme betroffen sind, welche Schritte bereits durchgeführt wurden und was als nächstes empfohlen wird. Ein schlechtes Ticket sagt nur "Alert xyz ausgelöst, eskaliert". Saubere Dokumentation ist nicht Bürokratie, sondern erleichtert jedem nachfolgenden Kollegen die Arbeit erheblich und ist bei Incidents forensisch relevant.

False Positives erkennen und melden

Wenn du erkennst, dass eine Regel häufig False Positives erzeugt, ist das wertvoll für das Team. Dokumentiere das Muster und melde es an Level 2 oder das Detection-Team, damit die Regel verbessert werden kann. Alert-Fatigue durch schlechte Detektionsregeln ist eine echte Gefahr in jedem SOC.

Eskalieren und kommunizieren

Wenn du eskalierst, erkläre in maximal drei Sätzen: Was wurde beobachtet, welche Systeme oder Nutzer sind betroffen, und was du bereits getan hast. Bei Kommunikation mit Fachbereichen vermeide Fachjargon. "Ihr Rechner hat versucht, sich mit einer bekannten Malware-Domain zu verbinden, wir haben die Verbindung blockiert und untersuchen weiter" ist besser als "Host hat eine C2-Verbindung initiiert".

Netzwerke

TCP/IP, DNS, HTTP/S, DHCP und Firewalls sind die täglich sichtbaren Protokolle in Logs. Du musst kein Netzwerkingenieur sein, aber du solltest verstehen, warum eine DNS-Anfrage suspicious sein kann und was ein abnormales Verbindungsmuster bedeutet. Übe mit Wireshark und eigenen Captures.

Windows

Windows-Eventlogs sind im SOC allgegenwärtig. Event-IDs wie 4624 (Anmeldung), 4625 (fehlgeschlagene Anmeldung), 4688 (Prozessstart) und 4720 (Nutzer angelegt) solltest du auswendig kennen. Sysmon erweitert die Telemetrie erheblich und ist in vielen SOC-Umgebungen aktiv.

Linux

Auth-Logs, Syslog und Cron-Jobs sind häufige Quellen. Die Kommandozeile ist unerlässlich: grep, awk, cut, sort, uniq und sed helfen dir, großen Log-Mengen schnell zu strukturieren. Ein bash-Grundkurs zahlt sich direkt in der täglich Arbeit aus.

SIEM

SIEM-Systeme (Security Information and Event Management) aggregieren Logs und korrelieren Ereignisse zu Alerts. Splunk, Microsoft Sentinel und Elastic Security sind die häufigsten Plattformen. Lerne, wie du Suchanfragen schreibst (SPL, KQL, Lucene) und wie Korrelationsregeln aufgebaut sind.

EDR

Endpoint Detection and Response (EDR) liefert detaillierte Prozess-, Netzwerk- und Dateisystem-Telemetrie von Endpunkten. Microsoft Defender for Endpoint, CrowdStrike Falcon und SentinelOne sind verbreitet. Im SOC nutzt du EDR, um Verdachtsfälle zu vertiefen und Prozess-Ketten nachzuvollziehen.

Identity und Active Directory

Anmeldeereignisse, Gruppenrichtlinien, privilegierte Accounts und Service-Accounts sind häufige Angriffsvektoren. Ein Grundverständnis für Active Directory, Kerberos und Azure AD / Entra ID ist in den meisten Unternehmens-SOCs unverzichtbar.

Cloud-Grundlagen

Viele Unternehmen betreiben Workloads in AWS, Azure oder GCP. Cloud-Trails, Audit-Logs und IAM-Ereignisse sind zunehmend Teil des SOC-Alltags. Du musst kein Cloud-Architekt sein, aber grundlegende Konzepte wie IAM-Rollen, Storage-Berechtigungen und Login-Events solltest du kennen.

Quereinstieg mit Eigenstudium

Wer aus einem anderen Bereich kommt (Wirtschaft, Handwerk, Gastronomie), kann über gezieltes Selbststudium einsteigen. Wichtig ist ein Portfolio mit konkreten Projekten und mindestens ein anerkanntes Zertifikat wie Security+ oder BTL1, das die Grundkenntnisse belegt.

Trainee-Programm

Einige große MSSPs (Managed Security Service Provider) und Banken bieten strukturierte Trainee-Einstiege an. Bewerbung mit gutem Abitur oder abgeschlossener Ausbildung möglich. Vorteil: Du lernst unter Anleitung und wirst bezahlt.

Helpdesk zu SOC

Einer der häufigsten Pfade. IT-Support-Erfahrung vermittelt bereits Windows-, Netzwerk- und Kommunikationskenntnisse. Der Schritt ins SOC erfordert dann vor allem vertiefte Kenntnisse in Log-Analyse und Sicherheitskonzepten.

Studium mit Praktikum

Ein Studium in Informatik, IT-Sicherheit oder Wirtschaftsinformatik kann den Einstieg erleichtern, ersetzt aber keine praktische Erfahrung. Wichtig: Praktika in SOC oder Security-nahen Abteilungen aktiv suchen, nicht nur auf den Abschluss warten.

1. Linux-Logs analysieren

Richte eine Ubuntu-VM ein und aktiviere Logging für SSH-Logins, sudo-Nutzung und Cron-Jobs. Generiere absichtlich Failed-Login-Events und analysiere sie mit grep und awk. Dokumentiere deinen Prozess und die Ergebnisse in Markdown. Das zeigt grundlegende Kompetenz im Umgang mit echten System-Logs und ist für Einstiegspositionen bereits relevant.

2. Windows-Events verstehen

Installiere Sysmon auf einer Windows-VM und führe alltägliche Aktionen durch: Datei erstellen, Netzwerkverbindung aufbauen, neues Nutzerkonto anlegen. Beobachte, welche Event-IDs generiert werden. Schreibe einen kurzen Report, welche Events dir als SOC Analyst aufgefallen waeren und warum. Das ist ein konkretes, nachvollziehbares Projekt für dein Portfolio.

3. Detection-Ideen dokumentieren

Recherchiere eine bekannte Angriffstechnik aus dem MITRE ATT&CK-Framework, zum Beispiel T1078 (Valid Accounts) oder T1059 (Command and Scripting Interpreter). Überlege, welche Log-Events diese Technik in deiner Lab-Umgebung erzeugen würde und wie eine einfache Detection-Regel aussehen könnte. Veroffentliche das als Write-Up auf GitHub.

4. Incident-Report schreiben

Nutze einen öffentlichen Incident-Datensatz (z.B. BOTS von Splunk oder Blue Team Labs Online) und schreibe einen strukturierten Incident-Report. Format: Executive Summary, Timeline, betroffene Systeme, empfohlene Maßnahmen. Das ist genau das Format, das du im Berufsalltag benotigst und das Bewerber kaum im Portfolio haben.

5. Eigenes Homelab aufbauen

Mit VirtualBox oder Proxmox kannst du eine kleine Lab-Umgebung aufbauen: ein Windows-Client, ein Linux-Server und ein einfaches SIEM wie Wazuh oder Elastic Stack. Dokumentiere den Aufbau vollständig in einem GitHub-Repository. Das zeigt technisches Verständnis und Eigeninitiative und ist eines der wirkungsvollsten Portfolio-Stücke für Einstiegspositionen. Schaue auch in unseren Guide Eigenes Hacking-Lab aufbauen.

Typische technische Fragen

• Was ist der Unterschied zwischen einem IDS und einem IPS?
• Du siehst viele failed SSH-Logins aus einer einzelnen IP - was machst du als Erstes?
• Erklaere, was ein False Positive ist und wie du damit umgehst.
• Was verstehst du unter Lateral Movement?
• Wie eskalierst du einen Vorfall an Level 2?

Kommunikationsfragen

• Beschreibe ein technisches Problem, das du einem Nicht-Techniker erklärt hast.
• Wie gehst du vor, wenn du unter Zeitdruck mehrere Aufgaben gleichzeitig hast?
• Erzähl von einem Moment, in dem du einen Fehler gemacht hast. Was hast du gelernt?

Gute Ruckfragen an den Interviewer

• Wie ist das Schichtmodell aufgebaut und gibt es Mentoring für neue Analysten?
• Welche SIEM-Plattform und EDR-Lösung wird eingesetzt?
• Wie läuft der Übergang von Level 1 zu Level 2 typischerweise ab?
• Wie werden Playbooks im Team entwickelt und aktualisiert?