Per l’analista SOC il NIST SP 800-61 non è teoria: è la spina dorsale del turno. Ogni alert che scorre in coda al SIEM viene lavorato secondo questo ciclo di vita a quattro fasi, e il dominio “Security Policies and Procedures” del CBROPS ti chiede di sapere cosa fa concretamente l’analista in ciascuna, non solo di elencarle. Il framework standardizza terminologia, criteri di priorità e passaggi di consegna tra i tier del Security Operations Center.

Come l’analista qualifica un alert

Il primo lavoro in turno è trasformare rumore in segnale. Un event è qualsiasi occorrenza osservabile (una login, una connessione loggata dal firewall); diventa incident solo quando l’analisi conferma la violazione di una policy o di una AUP. In mezzo c’è la decisione che pesa sulle metriche: un IDS che scatta è un indicator, non ancora un incident. Il Tier 1 valida il falso positivo confrontando l’alert con il contesto (asset colpito, baseline NetFlow, reputation dell’IP) e, se conferma, apre un caso. Il tempo che intercorre tra la compromissione reale e questa conferma è il dwell time; il tempo medio per accorgersene è il MTTD (Mean Time To Detect), la metrica che il SOC lotta per abbassare.

Le fasi viste dalla console del SOC

1. Preparation

Per il turnista è la fase invisibile ma decisiva: playbook aggiornati, regole di correlazione tarate, jump kit e forensic workstation pronti, e soprattutto soglie di severità già codificate così che il triage non dipenda dall’improvvisazione. Include il tuning dei detector per ridurre i falsi positivi che intasano la coda.

2. Detection & Analysis

Il cuore del mestiere. L’analista correla gli eventi nel SIEM, pivota tra log di endpoint, NetFlow e proxy per ricostruire lo scope, e assegna la priorità incrociando impatto funzionale, impatto informativo e recuperabilità. Già qui — non dopo — inizia la chain of custody: si annota timestamp, fonte e hash degli artefatti raccolti, perché un dato non tracciato dal primo momento è inutilizzabile in sede legale. Ogni caso viene arricchito con contesto di threat intelligence prima dell’eventuale escalation.

3. Containment, Eradication & Recovery

  • Containment: l’azione che ferma l’emorragia. Isolare l’host (quarantena di rete, ACL, blocco su firewall) dopo aver deciso se catturare prima memoria volatile e connessioni attive — spegnere distrugge artefatti RAM. Il Tier 1 può eseguire un containment predefinito da playbook; deviazioni richiedono l’ok del Tier 2/3.
  • Eradication: rimozione della causa radice — malware, account compromessi, vulnerabilità sfruttata.
  • Recovery: rientro in produzione da backup validati, con monitoraggio rafforzato sull’asset per intercettare recidive.

Il tempo dalla detection alla chiusura misura il MTTR (Mean Time To Respond/Recover), l’indicatore che il management guarda per valutare l’efficacia del SOC.

4. Post-Incident Activity

L’analista alimenta la retrospettiva con la propria timeline: cosa ha rallentato il triage, quale regola ha generato rumore, quale playbook andava aggiornato. Le lessons learned si traducono in nuove detection e rientrano nella Preparation.

Escalation e handoff tra i tier

Il SOC è stratificato: Tier 1 monitora, fa triage e contiene entro i limiti del playbook; Tier 2 approfondisce, esegue analisi forense e coordina l’eradication; Tier 3 (threat hunting/IR avanzato) gestisce i casi complessi e interfaccia il CSIRT. L’escalation scatta su criteri definiti: superamento di una soglia di severità, coinvolgimento di asset critici, sospetta esfiltrazione o incertezza sullo scope. Il handoff deve trasferire il caso senza perdere contesto: stato, evidenze con chain of custody intatta, azioni già eseguite e ipotesi aperte.

Trappole tipiche d’esame

  • Scenario: durante il containment l’analista deve isolare un host con processo malevolo attivo in RAM → risposta giusta: catturare memory dump e connessioni prima dell’isolamento se il playbook lo prevede; uno shutdown affrettato distrugge evidenze volatili.
  • Scenario: un Tier 1 rileva movimento laterale verso un domain controller → risposta giusta: escalation immediata al tier superiore per superamento soglia di criticità, oltre al containment iniziale.
  • Scenario: l’esame chiede quale metrica misura il tempo di permanenza indisturbata dell’attaccante → risposta giusta: dwell time, distinto da MTTD (tempo per rilevare) e MTTR (tempo per rispondere).
  • Scenario: al passaggio di consegna di fine turno un caso viene chiuso “risolto” senza note → risposta giusta: handoff difettoso; senza timeline e chain of custody documentata il caso non è tracciabile né difendibile.
  • Scenario: un artefatto raccolto in triage viene contestato perché privo di catena di custodia → risposta giusta: la chain of custody parte dalla Detection & Analysis, non dal containment; va tracciata dal primo prelievo.