ما هو SOC Analyst وما هي خارطة الطريق لتعلمه

وعليكم السلام ورحمة الله وبركاته.

إن محلل أمن العمليات (SOC Analyst) هو متخصص أمن سيبراني يعمل في مركز عمليات الأمن (SOC) وهو مركز مراقبة يعمل على مدار الساعة لرصد وتحليل ومنع الهجمات الإلكترونية على أنظمة المؤسسة.

و المهام الرئيسية لمحلل SOC:

• المراقبة المستمرة :
  • مثل مراقبة أدوات الأمن (SIEM، IDS/IPS، EDR).
  • رصد الأنشطة المشبوهة والتنبيهات الأمنية
• التحقيق الأولي : 
  • تحليل التنبيهات وتحديد خطورتها.
  • جمع الأدلة والبيانات ذات الصلة.
• الاستجابة للحوادث :
  • احتواء الهجمات كعزل الأنظمة المصابة.
  • القضاء على التهديدات.
  • استعادة الأنظمة المتأثرة
• التوثيق والإبلاغ :
  • توثيق الحوادث والتحقيقات.
  • إعداد تقارير للمستويات الإدارية

وإليك خارطة المسارات التعليمية والمهارات المطلوبة:

أولا المرحلة الأساسية (المستوى المبتدئ) :

1. أساسيات الشبكات (Networking)

• CCNA أو Network+ (شهادة مفيدة)
• فهم TCP/IP، DNS، DHCP، VLANs

2. أنظمة التشغيل:

• Windows (الإدارة والأمن)
• Linux (الأوامر الأساسية والإدارة)

3. أساسيات الأمن السيبراني :

• CIA Triad (السرية، السلامة، التوافر)
• أنواع التهديدات والهجمات
• مفاهيم الـ Firewall، IDS/IPS

ثانيا المرحلة المتوسطة (التخصص في SOC) :

4. أدوات SOC الأساسية

• SIEM (Splunk، QRadar، ArcSight)
• EDR/XDR (CrowdStrike، Microsoft Defender)
• أدوات التحليل (Wireshark، VirusTotal)

5. تحليل البرامج الضارة :

• أساسيات الـ Malware Analysis
• أدوات الاستخراج والتجزئة (Hashing)

6. الاستجابة للحوادث:

• فهم دورة حياة الحادث
• منهجيات التحقيق

ثالثا المرحلة المتقدمة :

7. التهديدات المتقدمة (APT)
8. الذكاء التهديدي (Threat Intelligence)
9. الأتمتة (Python، PowerShell)

وإليك الشهادات المعترف بها:

للبداية:

• CompTIA Security+
• Cisco CyberOps Associate

للمستوى المتوسط:

• GIAC Certified Intrusion Analyst (GCIA)
• Certified SOC Analyst (EC-Council CSA)

للمستوى المتقدم:

• GIAC Certified Incident Handler (GCIH)
• Certified Information Systems Security Professional (CISSP)

وإليك مسارات التطور الوظيفي:

محلل SOC مبتدئ (L1) 
       ↓
محلل SOC متقدم (L2) 
       ↓
محقق حوادث (Incident Responder)
       ↓
مهندس أمن (Security Engineer)
       ↓
رئيس فريق SOC (SOC Manager)

وإليك قنوات يوتيوب مفيدة:

باللغة الإنجليزية:

• NetworkChuck
• John Hammond
• The Cyber Mentor
• 13Cubed

باللغة العربية:

• Mohamed Alaa - Cyber Security

بتاريخ الآن قال محمد عاطف25:

وعليكم السلام ورحمة الله وبركاته.

إن محلل أمن العمليات (SOC Analyst) هو متخصص أمن سيبراني يعمل في مركز عمليات الأمن (SOC) وهو مركز مراقبة يعمل على مدار الساعة لرصد وتحليل ومنع الهجمات الإلكترونية على أنظمة المؤسسة.

و المهام الرئيسية لمحلل SOC:

• المراقبة المستمرة :
  • مثل مراقبة أدوات الأمن (SIEM، IDS/IPS، EDR).
  • رصد الأنشطة المشبوهة والتنبيهات الأمنية
• التحقيق الأولي : 
  • تحليل التنبيهات وتحديد خطورتها.
  • جمع الأدلة والبيانات ذات الصلة.
• الاستجابة للحوادث :
  • احتواء الهجمات كعزل الأنظمة المصابة.
  • القضاء على التهديدات.
  • استعادة الأنظمة المتأثرة
• التوثيق والإبلاغ :
  • توثيق الحوادث والتحقيقات.
  • إعداد تقارير للمستويات الإدارية

وإليك خارطة المسارات التعليمية والمهارات المطلوبة:

أولا المرحلة الأساسية (المستوى المبتدئ) :

1. أساسيات الشبكات (Networking)

• CCNA أو Network+ (شهادة مفيدة)
• فهم TCP/IP، DNS، DHCP، VLANs

2. أنظمة التشغيل:

• Windows (الإدارة والأمن)
• Linux (الأوامر الأساسية والإدارة)

3. أساسيات الأمن السيبراني :

• CIA Triad (السرية، السلامة، التوافر)
• أنواع التهديدات والهجمات
• مفاهيم الـ Firewall، IDS/IPS

ثانيا المرحلة المتوسطة (التخصص في SOC) :

4. أدوات SOC الأساسية

• SIEM (Splunk، QRadar، ArcSight)
• EDR/XDR (CrowdStrike، Microsoft Defender)
• أدوات التحليل (Wireshark، VirusTotal)

5. تحليل البرامج الضارة :

• أساسيات الـ Malware Analysis
• أدوات الاستخراج والتجزئة (Hashing)

6. الاستجابة للحوادث:

• فهم دورة حياة الحادث
• منهجيات التحقيق

ثالثا المرحلة المتقدمة :

7. التهديدات المتقدمة (APT)
8. الذكاء التهديدي (Threat Intelligence)
9. الأتمتة (Python، PowerShell)

وإليك الشهادات المعترف بها:

للبداية:

• CompTIA Security+
• Cisco CyberOps Associate

للمستوى المتوسط:

• GIAC Certified Intrusion Analyst (GCIA)
• Certified SOC Analyst (EC-Council CSA)

للمستوى المتقدم:

• GIAC Certified Incident Handler (GCIH)
• Certified Information Systems Security Professional (CISSP)

وإليك مسارات التطور الوظيفي:

محلل SOC مبتدئ (L1) 
       ↓
محلل SOC متقدم (L2) 
       ↓
محقق حوادث (Incident Responder)
       ↓
مهندس أمن (Security Engineer)
       ↓
رئيس فريق SOC (SOC Manager)

وإليك قنوات يوتيوب مفيدة:

باللغة الإنجليزية:

• NetworkChuck
• John Hammond
• The Cyber Mentor
• 13Cubed

باللغة العربية:

• Mohamed Alaa - Cyber Security

شكرا جزيلا لك اخي محمد على الرد المفصل احييك على هذا المجهود 

وعليكم السلام ورحمة الله وبركاته.

مسمّى SOC Analyst هو اختصار لـ Security Operations Center Analyst، وهو الشخص المسؤول عن مراقبة الأنظمة والشبكات بشكل مستمر لاكتشاف أي نشاط مشبوه أو هجمات سيبرانية، وتحليلها، ثم اتخاذ الإجراء المناسب أو تصعيدها حسب خطورتها. هذا الدور يُعد من أكثر الأدوار شيوعًا للدخول إلى مجال الأمن السيبراني، خصوصًا في المستوى المبتدئ.

عمل محلل SOC يتمحور حول المراقبة والتحليل أكثر من الاختراق. يومه العملي غالبًا يكون داخل مركز عمليات أمنية، يتعامل مع تنبيهات صادرة من أنظمة حماية مختلفة مثل أنظمة كشف التسلل، الجدران النارية، وأنظمة SIEM. عندما يظهر تنبيه، يبدأ بتحليله ليفهم هل هو هجوم حقيقي أم إنذار كاذب، وإن كان هجومًا يحدد نوعه، مصدره، ومدى تأثيره، ثم يتخذ الإجراء المناسب أو يرفع الحالة إلى مستوى أعلى.

حتى تكون مهيأ لهذا الدور، تحتاج أولًا إلى أساس قوي في الشبكات، لأن أغلب الهجمات تعتمد على فهم البروتوكولات مثل TCP/IP وDNS وHTTP، ومعرفة كيف تتواصل الأجهزة مع بعضها. بعد ذلك يجب فهم أنظمة التشغيل، خصوصًا لينكس وويندوز، من ناحية إدارة النظام، الصلاحيات، السجلات، وكيف تظهر الأنشطة غير الطبيعية داخل النظام. بعدها تنتقل إلى أساسيات الأمن السيبراني مثل أنواع الهجمات الشائعة، البرمجيات الخبيثة، التصيد، هجمات حجب الخدمة، وكيف تعمل أدوات الحماية.

جزء مهم جدًا في هذا المسار هو التعامل مع أنظمة SIEM مثل Splunk أو ELK، لأنها الأداة الأساسية التي يستخدمها محلل SOC لمتابعة السجلات وتحليل الأحداث الأمنية. كما يفيدك تعلم أساسيات تحليل السجلات، قراءة الـ logs، وربط الأحداث ببعضها لاكتشاف نمط هجوم كامل وليس مجرد حدث منفصل. معرفة بسيطة بالبرمجة أو السكربتات مثل Python أو Bash تعتبر ميزة قوية لكنها ليست شرطًا في البداية.

بالنسبة للمستوى الوظيفي، أغلب من يبدأون في هذا المجال يدخلون كـ SOC Analyst Tier 1، وهو مستوى تركيزه على المراقبة والتحليل الأولي. مع الخبرة، يمكن التدرج إلى Tier 2 ثم Tier 3، حيث يصبح الدور أكثر عمقًا في التحليل والاستجابة للحوادث.

من حيث التعلم، توجد مصادر قوية جدًا باللغة الإنجليزية. من أفضل القنوات التعليمية على يوتيوب قناة NetworkChuck وقناة John Hammond، فهما يشرحان الأمن السيبراني بشكل عملي ومفهوم. كذلك قناة TryHackMe مفيدة جدًا لأنها تجمع بين الشرح والتطبيق العملي داخل بيئة محاكاة، وهي ممتازة لمن يريد دخول مجال SOC تحديدًا. منصة Blue Team Labs Online أيضًا متخصصة في الجانب الدفاعي وتحليل الحوادث.

أما الدورات، فهناك مسارات جيدة على منصات مثل Coursera وUdemy تتحدث عن Cybersecurity Fundamentals وSOC Operations، بالإضافة إلى مسار SOC Analyst الموجود داخل TryHackMe، وهو من أفضل الخيارات للمبتدئين لأنه يربط المفاهيم بالواقع العملي مباشرة.