من هو محلل SOC وماذا يفعل فعليا؟
مركز العمليات الأمنية SOC (Security Operations Center) هو الفريق الذي يراقب أمن المؤسسة بشكل مستمر: محطات العمل والخوادم والشبكة والسحابة وحسابات المستخدمين. ومحلل SOC هو الحلقة المركزية فيه. تتمثل مهمته في رصد الأحداث المشبوهة وسط آلاف السجلات، وتحديد ما إذا كانت تهديدا حقيقيا أم إنذارا كاذبا، ثم إطلاق الاستجابة المناسبة قبل أن يتفاقم الحادث.
في المغرب، تُعد هذه المهنة من أسهل المداخل إلى مجال الأمن السيبراني. فهي تتطلب الدقة وأسسا تقنية جيدة أكثر مما تتطلب خبرة طويلة، وتوفر مسارا واضحا للتطور، من الفرز في المستوى الأول إلى البحث الاستباقي عن التهديدات. كما أنها وظيفة يتعلم فيها المرء بسرعة، لأنه يرى يوميا هجمات حقيقية وأخطاء إعداد حقيقية وسلوكيات مستخدمين حقيقية.
محلل SOC من المستوى L1 وL2 وL3: ما الفرق بين الأدوار؟
تنظم أغلب مراكز SOC فرقها في ثلاثة مستويات. تختلف المسميات من مؤسسة إلى أخرى، لكن المنطق يبقى واحدا: كلما ارتفع المستوى، تعمق التحليل وقل الاعتماد على الإجراءات المحددة مسبقا.
- المستوى 1 (L1): مراقبة الشاشات وفرز التنبيهات وتصنيفها وفق الإجراءات (playbooks) وتصعيد الحالات المؤكدة إلى المستوى 2. وهي وظيفة الدخول المعتادة.
- المستوى 2 (L2): تحقيق معمق في الحوادث المصعدة وربط مصادر متعددة والاحتواء (عزل جهاز أو حظر حساب) وتقديم توصيات المعالجة.
- المستوى 3 (L3): الحوادث المعقدة والبحث الاستباقي عن التهديدات (threat hunting) وتحليل البرمجيات الخبيثة والتحليل الجنائي الرقمي وإنشاء قواعد الكشف وتحسينها.
- حول هذه المستويات: مهندسو SIEM والكشف ومحللو استخبارات التهديدات ورؤساء الفرق ومديرو SOC.
كيف يبدو يوم عمل محلل SOC؟
جوهر العمل هو فرز التنبيهات. يظهر تنبيه في SIEM أو في واجهة EDR: تسجيل دخول من بلد غير معتاد، أو تنفيذ مشبوه لـ PowerShell، أو حركة نحو نطاق خبيث معروف. يتحقق المحلل من السياق ويراجع السجلات المرتبطة ويقارن مع مصادر استخبارات التهديدات، ثم يقرر: إغلاق التنبيه كإنذار كاذب، أو توثيقه، أو تصعيده.
عند تأكيد الحادث، تنطلق الاستجابة: عزل الجهاز وإعادة تعيين بيانات الدخول والبحث عن أجهزة أخرى متأثرة والتواصل مع فرق المعلوميات. تُسجل كل خطوة في أداة تذاكر، لأن التوثيق يُستعمل بعد ذلك لتحسين القواعد، وعند الاقتضاء للوفاء بالتزامات التبليغ.
هذه هي العائلات الرئيسية للأدوات الموجودة في أغلب مراكز SOC. يختلف المزودون من مؤسسة إلى أخرى، والمهم هو فهم وظيفة كل عائلة.
- SIEM: جمع السجلات من كامل البنية التحتية وربطها والبحث فيها.
- EDR / XDR: الرؤية والاستجابة على محطات العمل والخوادم.
- SOAR: أتمتة المهام المتكررة وتنسيق الاستجابة.
- منصات استخبارات التهديدات: مؤشرات الاختراق وسمعة عناوين IP والنطاقات.
- تحليل الشبكة (IDS/IPS وNDR والتقاط الحزم) وبيئات sandbox لتحليل الملفات المشبوهة.
- أدوات التذاكر وإدارة الحوادث.
ما الكفاءات المطلوبة لتصبح محلل SOC؟
يبحث المشغلون أولا عن أساس تقني متين وقدرة حقيقية على التحليل. فالأدوات تُتعلم أثناء العمل، أما فهم ما هو عادي أو غير عادي في نظام معلوماتي فيتطلب وقتا أطول بكثير.
- الشبكات: TCP/IP وDNS وHTTP والبروتوكولات الشائعة وقراءة سجلات الجدار الناري والـ proxy.
- الأنظمة: سجلات أحداث Windows وActive Directory وطريقة عمل Linux.
- معرفة الهجمات: التصيد الاحتيالي وبرامج الفدية والتنقل الجانبي وإطار MITRE ATT&CK.
- لغات الاستعلام والبرمجة النصية: كتابة بحث في SIEM وأتمتة مهمة بـ Python أو PowerShell.
- المهارات الشخصية: الدقة والهدوء تحت الضغط والكتابة الواضحة بالفرنسية والإنجليزية والعمل الجماعي والتسليم المنظم بين المناوبات.
ما الشهادات التي تساعدك على أن تصبح محلل SOC في المغرب؟
لا توجد شهادة إلزامية، لكن الشهادات تساعد على اجتياز الفرز الأولي لدى الموارد البشرية وتنظيم التعلم. ويمكن أن يبدو المسار المنطقي، من المبتدئ إلى المحلل المتمرس، على النحو التالي:
- CompTIA Security+ (SY0-701): أساسيات الأمن، وغالبا ما تُطلب لوظيفة L1. تكوين لمدة 5 أيام، ابتداء من 10900 درهم مع قسيمة الامتحان.
- Certified Network Defender v3 (CND، امتحان 312-38): الدفاع عن الشبكة والمراقبة والاستجابة للحوادث على مستوى البنية التحتية. 5 أيام، ابتداء من 15900 درهم.
- CompTIA CySA+ (CS0-003): شهادة المحلل بامتياز، تركز على الكشف وتحليل السلوكيات وإدارة الثغرات. 5 أيام، ابتداء من 12900 درهم.
- CHFI v11 (امتحان 312-49): التحقيق الرقمي والتحليل الجنائي، مفيدة للانتقال إلى المستوى L3 أو إلى الاستجابة للحوادث. 5 أيام، ابتداء من 19900 درهم.
أين تجد وظيفة SOC في الدار البيضاء والرباط وباقي مدن المغرب؟
تتركز وظائف SOC أساسا في محور الدار البيضاء-الرباط، مع فرص أيضا في طنجة وفاس ومراكش، وبشكل متزايد مع العمل الجزئي عن بعد. وتوظف عدة أنواع من المؤسسات محللين: الأبناك وشركات التأمين التي غالبا ما تمتلك مركز SOC خاصا بها، ومشغلو الاتصالات، ومزودو خدمات الأمن المُدارة (MSSP) الذين يراقبون عدة عملاء في آن واحد، ومراكز الأوفشورينغ والخدمات المشتركة التي تشغّل مراكز SOC لعملاء أوروبيين، والقطاع العام والفاعلون ذوو الأهمية الحيوية المعنيون بالقانون 05-20 وبمرجع DGSSI.
نقطة يجب معرفتها قبل التقدم: يعمل مركز SOC في الغالب على مدار الساعة وطيلة أيام الأسبوع. لذلك تتضمن وظائف L1 كثيرا مناوبات دورية أو ليالي أو عطل نهاية الأسبوع، وفق ترتيبات تختلف من مشغل إلى آخر. وبالنسبة لمراكز SOC التي تخدم عملاء أوروبيين من المغرب، يشكل إتقان الفرنسية والإنجليزية ميزة كبيرة.
كيف تحصل على أول وظيفة كمحلل SOC؟
غالبا ما تكون الوظيفة الأولى هي الأصعب، لأن كثيرا من العروض تشترط خبرة سابقة. والمفتاح هو أن تُظهر قدرتك على القيام بالعمل، حتى دون خبرة مهنية في SOC.
- أنشئ مختبرا صغيرا في المنزل: SIEM مفتوح المصدر وآلتان افتراضيتان، ثم نفّذ هجماتك الخاصة وحللها.
- تدرب على منصات التدريب الدفاعي (تمارين blue team وتحديات تحليل السجلات).
- وثّق تحليلاتك في مدونة أو مستودع GitHub: إنه ملف إنجازات يمكن للمشغلين الاطلاع عليه.
- استهدف شهادة معترفا بها، مثل Security+ للبداية ثم CySA+.
- ركز على مزودي MSSP ومراكز الأوفشورينغ التي توظف بانتظام ملفات مبتدئة، وعلى تداريب نهاية الدراسة.
- استعد للمقابلة: كثيرا ما سيُطلب منك تحليل تنبيه أو سجل مباشرة وشرح طريقة تفكيرك.
تكوّن في مهنة محلل SOC مع GATech
تقترح GATech في المغرب هذا المسار كاملا: Security+ وCND v3 وCySA+ وCHFI v11، حضوريا في الدار البيضاء والرباط أو عن بعد في قسم افتراضي مباشر، مع قسيمة الامتحان الرسمية. ويمكن لمستشارينا تقييم مستواك وإرشادك إلى الشهادة التي تبدأ بها.
لتخفيف الميزانية: خصم 10% للتسجيل المبكر، و15% للمجموعات ابتداء من ثلاثة موظفين من نفس الشركة، و15% للطلبة والخريجين الجدد، أو الأداء على 3 دفعات بدون فوائد للأفراد (الخصومات غير قابلة للجمع). اطلب عرض السعر وانطلق في مسارك المهني في SOC.
الأسئلة الشائعة
هل يمكن أن أصبح محلل SOC دون شهادة جامعية في الأمن السيبراني؟
نعم. كثير من المحللين يأتون من إدارة الأنظمة أو الشبكات أو الدعم المعلوماتي. أسس تقنية جيدة ومختبر شخصي موثق وشهادة مثل Security+ أو CySA+ تعوض غياب الشهادة الجامعية المتخصصة.
أي شهادة أختار لأول وظيفة في SOC؟
غالبا ما تكون CompTIA Security+ أفضل نقطة انطلاق لوظيفة L1، لأنها تغطي الأساسيات التي يطلبها المشغلون. تأتي بعدها CySA+ لإثبات كفاءات المحلل، بينما تعزز CND v3 جانب الدفاع عن الشبكات.
هل يتطلب العمل في SOC مناوبات ليلية؟
في الغالب نعم، خاصة في المستوى L1. تعمل كثير من مراكز SOC على مدار الساعة، ما يعني مناوبات دورية أو ليالي أو عطل نهاية الأسبوع. تختلف الترتيبات من مشغل لآخر، لذا اطرح السؤال منذ المقابلة.
ما الفرق بين محلل SOC ومختبر الاختراق؟
يعمل محلل SOC في الجانب الدفاعي (blue team): يكتشف الهجمات الجارية ويعالجها. أما مختبر الاختراق فيعمل في الجانب الهجومي (red team): يحاكي الهجمات لاكتشاف الثغرات قبل المهاجمين. المهنتان متكاملتان، وينتقل بعض المهنيين من إحداهما إلى الأخرى.
أين توجد وظائف SOC في المغرب؟
أساسا في الدار البيضاء والرباط، لدى الأبناك وشركات التأمين ومشغلي الاتصالات ومزودي خدمات الأمن المُدارة (MSSP) ومراكز الأوفشورينغ والقطاع العام. وتوجد وظائف أيضا في طنجة وفاس ومراكش، أحيانا مع العمل الجزئي عن بعد.
الفريق البيداغوجي لـ GATech
مكوّنون ومستشارون في الأمن السيبراني يحضّرون المهنيين في المغرب لشهادات CEH و OSCP+ و CISSP و CompTIA و ISO 27001.
نُشر في
