Tier SOC Analyst: Bagaimana L1, L2, dan L3 Bekerja Sama dalam Investigasi Keamanan

Sebuah Security Operations Center (SOC) dapat memproses ribuan security signals dan alerts dari berbagai bagian environment sebuah perusahaan. Namun, munculnya sebuah alert baru merupakan awal dari proses investigasi.

Sebuah detection rule mengidentifikasi aktivitas yang memenuhi kondisi tertentu berdasarkan telemetry yang tersedia. Namun, detection tersebut belum dapat menentukan apakah aktivitas yang terdeteksi merupakan aktivitas berbahaya, aktivitas yang sah, atau false positive. Setelah alert muncul, analyst perlu memvalidasi signal, mengkorelasikan evidence, menilai severity, menentukan scope, serta menentukan response yang sesuai.

Di sinilah struktur tim SOC menjadi krusial.

Baca juga: Behind the Screens: The People Powering Your SOC

Model tiered analyst memberikan kerangka untuk membagi tanggung jawab investigasi berdasarkan kompleksitas aktivitas, cakupan investigasi, dan tingkat keahlian teknis yang dibutuhkan. Tujuannya bukan sekadar meneruskan alert dari L1 ke L2 lalu ke L3, tetapi memastikan tingkat analisis yang tepat diterapkan pada setiap tahap investigasi.

Dari deteksi ke investigasi

Sebuah detection rule bekerja berdasarkan kondisi tertentu pada security telemetry. Ketika kondisi tersebut terpenuhi, sistem akan menghasilkan alert. Namun, alert itu sendiri bukanlah kesimpulan dari sebuah insiden. Pertanyaan pertama yang perlu dijawab oleh tim SOC adalah apakah aktivitas yang terdeteksi benar-benar merupakan security event.

SOC analyst perlu menentukan:

• Apakah aktivitas tersebut merupakan true positive, benign activity, atau false positive?

• Asset, identity, application, atau environment mana yang terdampak?

• Apakah terdapat evidence pendukung dari telemetry lainnya?

• Seberapa luas aktivitas tersebut berpotensi menyebar?

• Seberapa kritis asset atau identity yang terdampak?

• Apakah evidence yang tersedia menunjukkan adanya serangan yang lebih luas?

• Apakah investigasi membutuhkan technical expertise tambahan?

Untuk menjawab pertanyaan-pertanyaan tersebut, analyst perlu bergerak melampaui detection awal dan membangun konteks dari berbagai sumber data.

Relevant evidence dapat mencakup:

• Endpoint, identity, network, application, dan cloud telemetry

• Process tree dan aktivitas command-line

• Riwayat autentikasi dan informasi privilege

• Hubungan source dan destination

• Historical behaviour dari user atau asset yang terdampak

• Indicators of Compromise (IOC)

• Tactics, Techniques, and Procedures (TTP)

• Asset criticality dan exposure

Tujuannya bukan sekadar menentukan apakah sebuah alert terlihat mencurigakan, tetapi memahami apa yang terjadi, seberapa signifikan aktivitas tersebut, dan tindakan apa yang perlu dilakukan selanjutnya.

Peran L1, L2, dan L3 dalam proses investigasi

Ketika sebuah alert masuk ke SOC, proses investigasi dapat didistribusikan ke beberapa analyst tier. Tiering ini bukan untuk menunjukkan hierarki senioritas. Setiap level memiliki kedalaman investigasi dan cakupan tanggung jawab yang berbeda.

Model operasional SOC bisa berbeda di setiap organisasi. Namun, struktur tim/analyst tersebut prinsip dasarnya tetap sama: investigasi perlu dieskalasikan ketika kompleksitas atau kebutuhan teknisnya sudah melampaui cakupan investigasi saat ini, dengan tetap menjaga kesinambungan konteks antar-tier.

L1: Menentukan apakah alert memerlukan investigasi lebih lanjut

Tujuan utama L1 adalah menentukan apakah sebuah alert dapat diselesaikan melalui prosedur yang sudah ditetapkan atau membutuhkan investigasi lebih lanjut.

Aktivitasnya dapat mencakup:

• Memvalidasi detection berdasarkan telemetry yang tersedia

• Meninjau asset dan identity yang terdampak

• Melakukan initial enrichment

• Memeriksa pola benign yang telah diketahui dan documented exclusions

• Menerapkan prosedur investigasi dan playbook yang telah ditetapkan

• Menentukan initial severity dan priority

• Mendokumentasikan findings dan konteks investigasi

• Melakukan eskalasi terhadap aktivitas yang berada di luar cakupan investigasi yang telah ditentukan

L1 bukan sekadar bertugas memeriksa alert. Analyst perlu mengumpulkan cukup evidence dan konteks untuk mengambil keputusan yang tepat mengenai langkah berikutnya.

Pada skenario yang sudah dipahami dengan baik, L1 dapat menyelesaikan investigasi dan menjalankan response yang sesuai tanpa eskalasi. Namun, ketika evidence menunjukkan kompleksitas yang lebih tinggi atau membutuhkan investigasi di luar prosedur yang tersedia, kasus dapat diteruskan ke L2.

Dengan demikian, peran L1 adalah membangun konteks yang cukup untuk menentukan keputusan awal secara akurat: menyelesaikan, merespons, atau melakukan investigasi lebih lanjut.

L2: Memperluas cakupan investigasi

Ketika sebuah alert tidak dapat diselesaikan melalui initial triage, investigasi membutuhkan analisis yang lebih luas. L2 berfokus pada pemahaman apa yang terjadi, bagaimana aktivitas tersebut berkembang, dan sejauh mana aktivitas tersebut menyebar di dalam environment.

Aktivitasnya dapat mencakup:

• Mengkorelasikan telemetry dari berbagai sumber

• Menganalisis aktivitas endpoint dan autentikasi

• Menghubungkan events yang berkaitan di berbagai sistem dan identity

• Mengidentifikasi asset dan account yang terdampak

• Merekonstruksi kemungkinan attack path

• Menentukan scope dari dugaan compromise

• Menggunakan threat intelligence dan konteks tambahan

• Menentukan tindakan containment atau remediation yang sesuai

Pada tahap ini, investigasi bergerak dari validasi satu alert menuju rekonstruksi insiden.

Sebagai contoh, anomali autentikasi pada awalnya dapat terlihat sebagai aktivitas yang berdiri sendiri. Namun, ketika dikorelasikan dengan aktivitas endpoint, koneksi network, perubahan privilege, atau authentication events lainnya, aktivitas tersebut dapat menunjukkan bagian dari rangkaian serangan yang lebih besar.

Investigasi kemudian berkembang menjadi proses korelasi, scoping, dan rekonstruksi aktivitas.

L3: Advanced analysis dan threat hunting

Beberapa kasus membutuhkan kemampuan yang melampaui alert triage dan analisis insiden secara konvensional.

L3 menyediakan technical depth yang dibutuhkan untuk melakukan advanced investigation, termasuk ketika menghadapi pola serangan yang kompleks, evidence yang tidak lengkap, atau aktivitas yang belum dapat ditangkap secara efektif oleh mekanisme detection yang tersedia.

Aktivitasnya dapat mencakup:

• Advanced threat investigation

• Threat hunting

• Forensic analysis

• Rekonstruksi attack path yang kompleks

• Analisis pola serangan yang canggih atau belum pernah ditemukan sebelumnya

• Advanced malware atau packet analysis

• Peningkatan detection berdasarkan investigation findings

• Aktivitas L3 yang bersifat proactive

Salah satu karakteristik penting L3 adalah bahwa aktivitasnya tidak selalu dimulai dari sebuah alert.

Sebagai contoh, threat hunting merupakan aktivitas proaktif ketika analyst secara aktif mencari indikasi aktivitas adversary yang mungkin berhasil melewati detection logic yang tersedia.

Dengan demikian, terdapat dua jalur investigasi yang saling melengkapi:

1. Investigasi reaktif dimulai dari detected event dan berfokus pada pemahaman serta respons terhadap aktivitas tersebut.

2. Investigasi proaktif mencari bukti aktivitas adversary yang mungkin tidak menghasilkan alert secara konvensional.

L3 berfungsi sebagai kapabilitas teknis tingkat lanjut dalam keseluruhan proses investigasi, bukan sekadar menjadi titik eskalasi terakhir untuk setiap alert yang belum terselesaikan.

Eskalasi ditentukan oleh kompleksitas investigasi

Eskalasi antar-tier SOC tidak seharusnya dipandang sebagai ukuran seberapa penting sebuah alert. Kebutuhan untuk melakukan eskalasi ditentukan oleh karakteristik investigasi dan kapabilitas teknis yang dibutuhkan untuk menyelesaikan kasus tersebut.

Beberapa faktor yang perlu dipertimbangkan meliputi:

• Kompleksitas aktivitas yang terdeteksi

• Scope dari dugaan compromise

• Criticality dari asset yang terdampak

• Tingkat privilege dari identity yang terdampak

• Tingkat keyakinan terhadap detection

• Ketersediaan supporting evidence

• Technical expertise yang dibutuhkan

• Potensi dampak terhadap bisnis

• Kebutuhan containment dan remediation

Sebagai contoh, bayangkan terdapat dua alert yang dihasilkan oleh detection rule yang sama.

1. Salah satunya melibatkan standard user endpoint dengan aktivitas yang sesuai dengan pola benign yang telah diketahui. Investigasi dapat diselesaikan melalui prosedur L1 yang sudah tersedia.

2. Alert lainnya melibatkan privileged identity, beberapa endpoint, dan aktivitas yang tidak dapat dijelaskan berdasarkan evidence yang tersedia. Kasus tersebut mungkin membutuhkan correlation dan scoping yang lebih luas di L2, kemudian dilanjutkan dengan analisis teknis tingkat lanjut di L3.

Detection-nya serupa, namun kebutuhan investigasinya berbeda.

Karena itu, kriteria eskalasi sebaiknya didasari oleh kompleksitas investigasi, evidence, scope, dan expertise yang dibutuhkan, bukan sekadar meneruskan setiap alert secara berurutan dari L1 ke L2 lalu ke L3.

Investigation chain: Menghubungkan setiap tier SOC

Perbedaan cakupan setiap SOC analyst tier bukan berarti satu tier lebih penting atau lebih bernilai dibandingkan tier lainnya. Setiap tier menghasilkan findings dan konteks yang dapat mendukung proses investigasi di level lainnya.

Karena itu, L1, L2, dan L3 sebaiknya bekerja sebagai satu connected investigation chain. Findings dari satu level dapat memberikan konteks bagi keputusan di level lainnya, dan informasi tersebut terus dibawa sepanjang perkembangan sebuah insiden.

Validasi dan enrichment yang dilakukan L1 dapat memberikan konteks penting bagi investigasi L2. Di sisi lain, findings dari L2 dapat membantu L3 memahami aktivitas serangan secara lebih menyeluruh.

Alurnya juga tidak selalu berjalan satu arah.

Findings dari investigasi yang lebih mendalam maupun threat hunting di L3 dapat digunakan untuk meningkatkan detection logic, enrichment, dan prosedur investigasi yang digunakan pada tahap sebelumnya.

Dengan demikian, kontribusi setiap tier tetap relevan sepanjang siklus investigasi, dan hasil investigasi pada satu level dapat memperkuat kemampuan investigasi pada level lainnya.

Membangun SOC berdasarkan kebutuhan investigasi

Pada akhirnya, struktur tiered analyst bertujuan untuk mencocokkan tingkat kapabilitas teknis dengan kebutuhan investigasi yang sedang dihadapi. Artinya, membangun SOC membutuhkan lebih dari sekadar jumlah personel yang cukup untuk memonitor alert. Tim juga membutuhkan:

• Kriteria eskalasi yang jelas
  Analyst perlu memahami kapan sebuah insiden dapat diselesaikan dalam cakupan tanggung jawabnya dan kapan membutuhkan expertise tambahan.

• Kapabilitas teknis yang berbeda di setiap tier
  Setiap tier perlu memiliki pengetahuan dan technical exposure yang sesuai dengan tanggung jawabnya.

• Prosedur investigasi yang konsisten
  Proses yang terdokumentasi membantu analyst menangani skenario yang sudah diketahui secara konsisten sekaligus menyediakan titik eskalasi yang jelas ketika prosedur tersebut tidak lagi memadai.

• Telemetry dan security tooling yang relevan
  Kualitas investigasi bergantung pada evidence yang tersedia bagi analyst. Endpoint, identity, network, application, dan cloud telemetry dapat memberikan bagian yang berbeda dari sebuah insiden.

• Transfer konteks antar-tier
  Eskalasi harus mempertahankan evidence, reasoning, dan findings yang telah dikumpulkan sebelumnya, bukan membuat analyst berikutnya mengulang investigasi dari awal.

• Continuous improvement
  Investigation findings perlu dikembalikan ke detection logic, enrichment, automation, prosedur, dan bagian lain dari operasional keamanan untuk meningkatkan kapabilitas secara berkelanjutan.

Hal ini menunjukkan prinsip yang lebih luas dalam operasional SOC: people, process, dan technology perlu bekerja secara terintegrasi agar setiap security event mendapatkan tingkat analisis, technical expertise, dan response yang sesuai dengan karakteristik serta potensi dampaknya.

Effective SOC operations: Investigasi, eskalasi, dan respons terhadap insiden

Efektivitas SOC pada akhirnya ditentukan oleh seberapa baik tim SOC dapat mengubah security signals menjadi keputusan investigasi dan respons yang tepat.

Hal ini membutuhkan lebih dari sekadar menghasilkan alert atau menjaga security coverage. SOC yang efektif harus mampu:

• Validate apakah aktivitas yang terdeteksi benar-benar merupakan security event

• Correlate evidence dari berbagai telemetry dan sumber keamanan yang relevan

• Prioritize insiden berdasarkan severity, scope, asset criticality, dan potensi dampak

• Respond berdasarkan investigation findings dan kebutuhan teknis

• Improve detection, prosedur investigasi, dan kapabilitas respons berdasarkan pembelajaran dari insiden sebelumnya

Model tiered analyst mendukung proses tersebut dengan membagi tanggung jawab investigasi berdasarkan kompleksitas, scope, dan technical expertise yang dibutuhkan.

Karena itu, L1, L2, dan L3 seharusnya berfungsi sebagai satu connected investigation chain. Findings dan konteks perlu diteruskan antar-tier, bukan memperlakukan setiap level sebagai fungsi yang berdiri sendiri.

Bagi organisasi yang sedang mengevaluasi atau membangun SOC, pertanyaannya bukan sekadar apakah L1, L2, dan L3 tersedia karena tiering ini ada di semua SOC. Namun, yang lebih penting adalah apakah people, process, dan technology di balik struktur tersebut dapat bekerja bersama untuk mempertahankan investigation depth dan kesinambungan konteks, mulai dari initial detection hingga response.

Di Cisometric, prinsip tersebut diterapkan melalui pendekatan terstruktur terhadap security monitoring, investigasi, dan incident response.

Pelajari lebih lanjut mengenai bagaimana SOC dari Cisometric dapat mendukung operasional keamanan Anda secara efektif, klik di sini: Security Operations Center.

Tetap terhubung dengan Cisometric untuk mendapatkan insight lainnya mengenai SOC, ancaman berbasis AI, cyber resilience, dan digital trust.

LinkedIn: Cisometric

Instagram: @cisometric

YouTube: @Cisometric

FAQ

Apa itu L1, L2, dan L3 Analyst dalam SOC?

L1, L2, dan L3 merupakan analyst tier yang digunakan untuk membagi tanggung jawab investigasi keamanan berdasarkan kompleksitas, scope, dan technical expertise yang dibutuhkan. L1 umumnya menangani initial validation, enrichment, dan triage. L2 memperluas investigasi melalui correlation, scoping, dan response. Sementara itu, L3 menangani advanced analysis, threat hunting, dan investigasi yang kompleks.

Ketiga tier tersebut tidak seharusnya dipandang sebagai hierarki kualitas analyst. Dalam SOC yang efektif, setiap tier memiliki kapabilitas investigasi yang berbeda dan saling berbagi konteks sepanjang proses investigasi. Cisometric menerapkan pendekatan tiered analyst ini sebagai bagian dari operasional Security Operations Center.

Bagaimana proses eskalasi alert dalam SOC bekerja?

Eskalasi alert seharusnya ditentukan oleh kebutuhan investigasi, bukan dengan otomatis meneruskan setiap alert dari L1 ke L2 lalu L3. Scope dugaan compromise, criticality aset, tingkat privilege, ketersediaan evidence, kompleksitas serangan, dan technical expertise yang dibutuhkan dapat menentukan apakah investigasi lebih lanjut diperlukan.

Alert yang sudah dipahami dengan baik dapat diselesaikan di L1. Sebaliknya, serangan yang melibatkan beberapa sistem atau identity dapat membutuhkan analisis L2 atau L3.

Di Cisometric, prinsip ini mendukung proses investigasi yang terstruktur, di mana eskalasi didasarkan pada kebutuhan aktual sebuah insiden sekaligus mempertahankan konteks investigasi antar-tier.

Apa perbedaan investigasi SOC L1, L2, dan L3?

Perbedaan utamanya terletak pada cakupan dan kedalaman teknis investigasi, bukan sekadar tingkat senioritas.

• L1 menentukan apakah sebuah alert membutuhkan investigasi lebih lanjut melalui validasi, enrichment, dan triage.

• L2 memperluas investigasi melalui evidence correlation, scoping, rekonstruksi attack path, dan response.

• L3 menerapkan analisis teknis tingkat lanjut, threat hunting, forensic investigation, dan analisis serangan yang kompleks.

Ketiganya saling melengkapi. Findings dari L1 dapat memberikan konteks penting bagi L2, sementara findings yang lebih mendalam dari L2 maupun L3 dapat digunakan untuk meningkatkan detection logic dan prosedur investigasi pada tahap sebelumnya. Pendekatan yang saling terhubung ini juga menjadi bagian dari bagaimana Cisometric menjalankan investigasi SOC.

Bagaimana SOC menentukan apakah sebuah alert merupakan ancaman nyata bagi perusahaan?

Sebuah detection rule hanya mengidentifikasi aktivitas yang memenuhi kondisi tertentu. Untuk menentukan apakah aktivitas tersebut merupakan ancaman nyata, analyst perlu menghubungkan alert dengan konteks tambahan.

Konteks tersebut dapat mencakup endpoint dan identity telemetry, riwayat autentikasi, aktivitas process, koneksi network, historical behaviour, threat intelligence, IOC, TTP, serta asset criticality. Dari sana, analyst menilai apakah aktivitas tersebut merupakan true positive, benign activity, atau false positive, sekaligus menentukan potensi scope dan dampaknya.

Pendekatan berbasis evidence ini penting dalam SOC Cisometric, karena investigasi yang efektif membutuhkan lebih dari sekadar membaca alert. Tim perlu memahami apa yang terjadi, sejauh mana aktivitas tersebut berkembang, dan response seperti apa yang sesuai.

Apa yang membuat Security Operations Center efektif?

SOC yang efektif mengintegrasikan people, process, dan technology, bukan hanya mengandalkan jumlah alert atau security tooling.

Secara operasional, hal ini membutuhkan kapabilitas analyst yang berbeda, kriteria eskalasi yang jelas, prosedur investigasi yang konsisten, telemetry yang memadai, security tooling yang relevan, serta mekanisme untuk mempertahankan konteks investigasi antar-tier. Yang tidak kalah penting, findings dari investigasi perlu dikembalikan ke proses detection, enrichment, automation, dan response untuk meningkatkan kapabilitas secara berkelanjutan.

SOC Cisometric menerapkan prinsip tersebut dengan menghubungkan security monitoring, investigasi, eskalasi, dan response, sehingga penanganan alert tidak berdiri sebagai proses yang terpisah.