SOC Fundamentals

Introduction#

A SOC (Security Operations Center) is a dedicated team that monitors an organization's network 24/7 to detect and respond to security threats.

It helps prevent damage from attacks, unauthorized access, and data breaches.

Learning Objectives#

• Understand what a SOC is
• Detection and response
• People, Process, and Technology
• Practical exercises

What does SOC stand for?#

Security Operations Center

Purpose and Components#

The SOC focuses on Detection and Response.

Detection#

• Find vulnerabilities
• Spot unauthorized access
• Detect policy violations
• Identify intrusions

Response#

• Support incident response
• Minimize impact
• Root cause analysis

Three Pillars of SOC#

1. People
2. Process
3. Technology

People#

• SOC Analysts:
  • Level 1: First response, triage alerts
  • Level 2: Deeper investigations
  • Level 3: Threat hunting, complex incidents
• Security Engineer: Deploys/configures tools
• Detection Engineer: Creates detection rules
• SOC Manager: Leads team, reports to CISO

Process#

• Alert Triage: Analyze and prioritize alerts using 5 Ws (What, When, Where, Who, Why)
• Reporting: Escalate with details and evidence
• Incident Response and Forensics: Handle severe incidents, find root cause

Technology#

Security solutions that help detect and respond:

• SIEM: Central log collection, detection rules
• EDR: Endpoint visibility and response
• Firewall: Blocks unauthorized traffic

Other tools: Antivirus, EPP, IDS/IPS, XDR, SOAR.

Conclusion#

A strong SOC combines skilled people, clear processes, and the right technology to protect an organization from cyber threats.

en arabe#

1️⃣ شنو هو SOC؟#

SOC = Security Operations Center يعني مركز عمليات الأمن المعلوماتي. هو فريق خاص خدام 24/24 و7/7، كيراقب شبكة الشركة وأنظمتها باش يكشف أي هجوم أو نشاط مشبوه، و يرد عليه بسرعة. الهدف ديالو: يمنع الضرر يحمي المعلومات الحساسة يرد بسرعة على أي تهديد

2️⃣ الأهداف ديال SOC#

يفهم شنو هو SOC كيفاش كيكشف ويرد على التهديدات يعرف دور الناس، العمليات، والتكنولوجيا اللي فيه

3️⃣ الهدف الرئيسي#

كيهتمو بجوج حوايج مهمين:

Detection (الكشف):

يكتاشفو الثغرات فالأنظمة يراقبو الدخولات غير المصرح بها يلقاو خرق السياسات ديال الشركة يكتاشفو الهجمات والاختراقات

Response (الرد):

يساندو فالتعامل مع الحوادث ينقصو من الأضرار يقلبو على السبب الرئيسي ديال الهجوم

4️⃣ 3 ركائز أساسية فـ SOC#

باش يكون SOC قوي وخدام مزيان، خاصو 3 حوايج:

الناس (People) العمليات (Process) التكنولوجيا (Technology)

5️⃣ الناس (People)#

شكون خدام فـ SOC؟

SOC Analyst Level 1:

أول ناس كيحللو التنبيهات كيشوفو واش خطر ولا لا

SOC Analyst Level 2:

كيحققو أكثر فالتحقيق يربطو البيانات ويحللوها مزيان

SOC Analyst Level 3:

محترفين كبار كيديرو hunting على التهديدات كيساندو فالرد على الحوادث

Security Engineer:

كيدير setup ديال الأدوات يضبطهم باش يخدمو مزيان

Detection Engineer:

كيدير القوانين باش تكتاشف الهجمات

SOC Manager:

كينظم الخدمة كيعطي تقارير للـ CISO

6️⃣ العمليات (Process)#

شنو كيديرو فالعمليات؟

Alert Triage: يحللو التنبيهات يجاوبو على 5 أسئلة: شنو؟ (What) وقتاش؟ (When) فين؟ (Where) شكون؟ (Who) علاش؟ (Why) What? A malicious file was detected on one of the hosts inside the organization’s network. When? The file was detected at 13:20 on June 5, 2024. Where? The file was detected in the directory of the host: "GEORGE PC". Who? The file was detected for the user George. Why? After the investigation, it was found that the file was downloaded from a pirated software-selling website. The investigation with the user revealed that they downloaded the file as they wanted to use a software for free. Reporting: كيسيفطو التنبيهات للناس المناسبين كيديرو تقارير واضحة بالتحليل والدلائل

Incident Response و Forensics: يردو بسرعة على الهجمات الخطيرة يقلبو على السبب باش يحيدوه

7️⃣ التكنولوجيا (Technology)#

باش يخدمو مزيان خاصهم أدوات قوية:

SIEM:

كيجمع الlogs من الأجهزة كيدير قواعد للكشف على الأنشطة المشبوهة

EDR:

كيعطي رؤية كاملة على الأجهزة كيدير ردود آلية

Firewall:

كيسد الطريق على الترافيك الخايب كيراقب الداخل والخارج

كاينين أدوات أخرى بحال:

Antivirus EPP IDS/IPS XDR SOAR