Sådan forbedrer du dine chancer for at blive SOC-analytiker og få dit første job

En SOC-analytiker er den praktiske sikkerhedsprofil, der hjælper danske organisationer med at opdage, undersøge og håndtere cyberhændelser hurtigere og mere struktureret end før. Rollen er derfor mere driftsnær og samarbejdende end mange forventer, især i miljøer med cloud, fjernarbejde, outsourcede sikkerhedstjenester og strengere regulering.

En SOC-analytiker arbejder i et Security Operations Center med at overvåge sikkerhedsalarmer, analysere logdata, vurdere mistænkelig aktivitet og koordinere respons, når noget ser forkert ud. Rollen handler mindre om at “sidde og se på dashboards” og mere om at stille gode hypoteser, følge runbooks, dokumentere beslutninger og kommunikere klart med IT-drift, netværk, cloud-teams, ledelse og nogle gange juridiske eller compliance-ansvarlige.

Hvad laver en SOC-analytiker i praksis?

Den daglige opgave begynder ofte med triage. En alarm fra et SIEM, et EDR-værktøj eller en cloud-sikkerhedsplatform skal vurderes: Er det en falsk positiv, en teknisk fejl, en kendt ændring eller et tegn på kompromittering? Analytikeren ser på tidspunkt, bruger, enhed, kilde-IP, procesnavne, netværksforbindelser og tidligere aktivitet for at afgøre, om hændelsen skal lukkes, eskaleres eller undersøges dybere.

Et typisk eksempel kan være en alarm om umulig rejse på en brugerkonto efterfulgt af fejlede loginforsøg og en vellykket multifaktor-godkendelse. En junioranalytiker vil normalt starte med at validere konteksten: har brugeren været på rejse, bruges der VPN, er der nyligt skiftet telefon, og findes der samtidige tegn på mailbox-regler, token-misbrug eller usædvanlig filadgang? En stærk kandidat dokumenterer ikke kun svaret, men også hvorfor en hændelse vurderes som lav, middel eller høj risiko.

Rollen indeholder også hændelsesrapportering. Det kan lyde administrativt, men gode noter er en del af selve forsvaret. Hvis en hændelse eskalerer, skal næste person kunne forstå, hvad der er undersøgt, hvilke antagelser der er gjort, hvilke indikatorer der er relevante, og hvilke containment-handlinger der allerede er udført. NIST SP 800-61r2 beskriver hændelseshåndtering som en proces med forberedelse, detektion, analyse, containment, eradication og recovery; i en SOC bliver den proces omsat til konkrete runbooks, tickets og beslutningspunkter.

Hvor SOC-roller findes i Danmark

I Danmark findes SOC-roller hos flere typer arbejdsgivere. Managed security service providers og MDR-leverandører ansætter ofte mange juniorprofiler, fordi de overvåger miljøer for flere kunder og har behov for struktureret triage døgnet rundt. Finanssektoren, energiselskaber, transport, tele, sundhed, større industrivirksomheder og offentlige myndigheder har typisk mere komplekse miljøer, hvor SOC-arbejdet hænger tæt sammen med risikostyring, compliance og kritisk infrastruktur.

Den danske kontekst betyder også, at tekniske færdigheder sjældent står alene. GDPR påvirker håndtering af persondata i logning, rapportering og incident response, mens NIS2 skærper forventningerne til risikostyring, hændelsesrapportering og ledelsesforankring i omfattede sektorer. CFCS’ vejledninger, ENISA-materiale og MITRE ATT&CK bruges ofte som praktiske referencepunkter, men arbejdsgivere lægger også vægt på, om kandidaten kan kommunikere på dansk, skrive forståelige hændelsesnoter og arbejde med fortrolige oplysninger. I visse offentlige eller kritiske miljøer kan sikkerhedsgodkendelse desuden være relevant.

For en ny kandidat er det vigtigt at forstå forskellen på at kunne navngive et framework og at kunne bruge det. MITRE ATT&CK er nyttigt, når en analytiker skal beskrive en observeret teknik som credential dumping, phishing eller command and control. CFCS- og NIS2-relaterede krav bliver praktiske, når en hændelse skal prioriteres, rapporteres og følges op med forbedringer i logning, adgangsstyring eller sårbarhedsstyring.

Sådan fungerer SOC-tiers og karriereprogression

De fleste SOC-miljøer opdeler arbejdet i niveauer, selv om titlerne varierer. Tier 1 håndterer den første vurdering af alarmer, beriger data, følger runbooks og afgør, hvad der skal eskaleres. Arbejdsgivere screener her især for nysgerrighed, logforståelse, grundlæggende netværk, Windows- og cloudkendskab, præcise noter og evnen til at holde hovedet koldt, når flere alarmer kommer samtidig.

Tier 2 går dybere ind i investigation og incident response. Her forventes det, at analytikeren kan forbinde hændelser på tværs af endpoint, identitet, mail, DNS, proxy og cloud-logs, foreslå containment og kommunikere konsekvenserne til driftsteams. Det er også her, evnen til at skrive bedre detektionslogik, forbedre runbooks og identificere datamangler begynder at fylde mere.

Tier 3, threat hunting og MDR-specialistroller kræver mere moden analyse. Arbejdet handler ofte om hypotesedrevet jagt, avanceret KQL eller Sigma, malware- og adfærdsanalyse, forensics, tuning af use cases og forbedring af hele detektionskæden. Her vurderes kandidater mindre på, om de kan følge en playbook, og mere på, om de kan finde ukendte mønstre, forklare risikoen og omsætte fund til bedre detektion og respons.

De færdigheder der gør forskellen

En kommende SOC-analytiker bør begynde med fundamentet: netværk, operativsystemer, identitet, cloud, sikkerhedsprincipper og almindelige angrebsteknikker. Det er svært at vurdere en alarm om mistænkelig PowerShell, hvis man ikke forstår normal Windows-administration. Det er lige så svært at analysere en cloud-loginhændelse uden kendskab til identitetsudbydere, multifaktor-godkendelse, betinget adgang og sessionstokens.

Loglæsning er en særskilt disciplin. Mange kandidater bruger for meget tid på teori og for lidt tid på at læse rå hændelser, sammenligne tidsstempler og formulere en undersøgelseshypotese. En bedre vej er at øve små cases igen og igen: Hvad skete der først, hvilken bruger eller host er involveret, hvilke datakilder mangler, og hvilken beslutning kan tages uden at overreagere?

Kommunikation er lige så vigtig som teknik. En SOC-analytiker skal kunne skrive, at “der er observeret succesfuldt login fra en usædvanlig geografi efterfulgt af oprettelse af en mailbox-regel”, i stedet for blot at skrive “konto muligvis hacket”. Den første formulering hjælper drift, ledelse og incident response med at handle; den anden skaber usikkerhed.

En praktisk vej ind: hjemme-lab, logs og portefølje

Et hjemme-lab behøver ikke være dyrt eller komplekst. Målet er at vise, at kandidaten kan arbejde metodisk med data. En enkel opsætning kan bestå af en virtuel Windows-maskine, en Linux-maskine, et logopsamlingsværktøj, åbne datasæt og øvelser med Sigma-regler eller KQL-lignende forespørgsler. Det centrale er ikke værktøjsnavnet, men evnen til at forklare, hvilke logs der samles ind, hvilke hændelser de viser, og hvordan en alarm undersøges.

Offentligt tilgængelige øvelsesdatasæt, CTF-lignende platforme og blue-team labs kan bruges til at træne phishing-analyse, brute-force-detektion, malware-indikatorer og mistænkelig procesaktivitet. En kandidat kan opbygge en portefølje med korte hændelsesrapporter, runbooks og detektionsnoter. Det er ofte mere overbevisende end en liste over værktøjer, fordi det viser arbejdsgiveren, hvordan personen tænker under usikkerhed.

En god portefølje kan for eksempel indeholde en rapport om en phishing-mail, hvor kandidaten dokumenterer afsenderdomæne, header-observationer, URL-adfærd, brugerimpact og anbefalet respons. En anden rapport kan beskrive en login-anomali med tidslinje, logkilder, vurdering og forslag til forbedret detektion. Den slags arbejde træner både triage, teknisk analyse og skriftlig formidling.

Certificeringer: hvilke giver mening hvornår?

Certificeringer kan hjælpe, men de bør understøtte praksis i stedet for at erstatte den. For begyndere kan CompTIA Security+ give et bredt sikkerhedsfundament, især hvis man kommer fra helpdesk, netværk, drift eller et studieforløb uden meget sikkerhed. Den er ikke en SOC-certificering i sig selv, men den kan gøre det lettere at forstå terminologi, risici og grundlæggende kontroller.

Når fokus bliver mere SOC-nært, er valget ofte mellem en rollespecifik og en leverandørneutral retning. Microsoft Security Operations Analyst Associate, eksamen SC-200, passer bedst til kandidater, der arbejder eller vil arbejde i Microsofts sikkerhedsstack med værktøjer som Microsoft Sentinel og Defender-porteføljen. CompTIA Cybersecurity Analyst, eksamen CS0-003, er leverandørneutral og fokuserer på trusselsdetektion, analyse og respons; kildeteksten omtaler den som CySA+. Begge kan være relevante for SOC-roller, men den rigtige rækkefølge afhænger af det miljø, kandidaten søger ind i.

Mere avancerede certificeringer bør vælges med omhu. CISSP er bred og erfarenhedsorienteret og giver bedst mening, når man bevæger sig mod arkitektur, governance eller senior sikkerhedsroller. CISM passer bedre til ledelse, risikostyring og sikkerhedsprogrammer end til første SOC-job. CEH kan give angrebsperspektiv, men bør suppleres med blue-team øvelser, så viden omsættes til detektion og respons. En certificering som GCIH er mere målrettet hændelseshåndtering, men bør vurderes ud fra rolle, budget og erfaring.

Readynez kan i denne sammenhæng være relevant som struktureret træning, når en kandidat ønsker scenariebaserede øvelser, gentagelser og feedback omkring konkrete eksamensmål. Uanset udbyder bør læringsplanen dog kombinere certificeringspensum med labs, mini-cases, notetagning og efterfølgende refleksion over fejl, fordi SOC-arbejde bedømmes på beslutningskvalitet under pres.

Hverdagen i en SOC: skiftehold, alarmtræthed og samarbejde

SOC-arbejde kan indebære skiftehold, weekendvagter eller on-call, især hos MSSP’er, MDR-leverandører og organisationer med døgnbemanding. Det gør rollen lærerig, men også krævende. Alarmtræthed opstår, når for mange alarmer er uklare, dårligt prioriterede eller gentages uden forbedring. En moden SOC forsøger derfor at reducere støj gennem tuning, bedre use cases, klare eskaleringskriterier og regelmæssig gennemgang af falske positiver.

Den enkelte analytiker kan også arbejde sundere uden at sænke responskvaliteten. Gode rutiner er korte og præcise notater undervejs, faste overleveringer ved vagtskifte, tydelige pauser efter intense hændelser og en vane med at skelne mellem observation, antagelse og beslutning. Det reducerer fejl, fordi næste person ikke skal gætte, hvad der er undersøgt.

Samarbejdet uden for SOC’en er en stor del af arbejdet. IT-drift skal måske isolere en maskine, identitetsteamet skal tilbagekalde sessioner, legal skal vurdere persondataaspekter, og ledelsen skal forstå forretningskonsekvensen. En analytiker, der kan oversætte tekniske fund til handlinger, bliver hurtigere værdifuld end en kandidat, der kun kan beskrive værktøjets alarmtekst.

Automatisering hjælper først, når grundlaget er stabilt

SOAR og automatisering kan være nyttigt, men det er en fejl at automatisere en uklar proces. Hvis en runbook er upræcis, eller datakvaliteten er lav, vil automatisering blot udføre dårlige beslutninger hurtigere. En bedre begyndelse er at stabilisere alarmer, normalisere felter, definere alvorlighedskriterier og sikre, at analytikere er enige om, hvornår en handling må udføres.

Små human-in-the-loop workflows er ofte den mest realistiske start. Et workflow kan for eksempel berige en phishing-alarm med domænealder, URL-omdømme og tidligere modtagere, men lade en analytiker godkende blokering eller brugerkommunikation. På den måde øges hastigheden uden at fjerne den menneskelige vurdering fra beslutninger, der kan påvirke brugere eller forretning.

Hvad der ofte testes til jobsamtalen

Til juniorroller tester arbejdsgivere sjældent kun definitioner. De vil se, hvordan kandidaten tænker. En praktisk opgave kan være at gennemgå et loguddrag, prioritere tre alarmer, analysere en phishing-mail eller skrive en kort KQL-forespørgsel. Det rigtige svar er ikke altid et perfekt teknisk facit, men en tydelig metode: hvilke data er sikre, hvilke antagelser kræver bekræftelse, og hvad bør eskaleres?

En kandidat kan øve dette målrettet ved at tage en lille case og skrive en hændelsesnote på fem til ti linjer. Noten bør indeholde observation, vurdering, anbefalet handling og åbne spørgsmål. Over tid bliver det en vane at arbejde som en analytiker i stedet for blot at læse om sikkerhed.

Hiring managers lægger ofte mærke til ydmyghed over for usikkerhed. En stærk junior siger ikke nødvendigvis “det er helt sikkert malware”, men kan forklare, at “processen er usædvanlig for denne host, parent-processen bør valideres, og der er behov for EDR-tidslinje før containment-beslutning”. Den formulering viser både teknisk forståelse og modenhed.

At bygge en holdbar vej ind i SOC

Den mest realistiske vej ind i SOC er at kombinere fundament, praktiske cases og en certificering, der passer til det miljø, man søger. En kandidat med helpdesk- eller driftserfaring bør fremhæve fejlsøgning, brugerforståelse og systemkendskab. En studerende bør bygge en portefølje med labs og korte hændelsesrapporter. En karriereskifter bør vise, hvordan tidligere erfaring med analyse, dokumentation, compliance eller kundekommunikation kan bruges i incident response.

Et godt næste skridt er at vælge én læringsretning, gennemføre praktiske øvelser og dokumentere arbejdet, før der tilføjes flere certifikater. Readynez kan bruges som en nøgtern del af den plan, hvis struktureret undervisning og eksamensforberedelse skal kombineres med praktisk sikkerhedstræning. Det vigtigste er, at læringen efterlader spor: bedre logforståelse, bedre rapporter, klarere runbooks og en mere sikker beslutningsproces under pres.

Hvis næste skridt er formel træning, kan Readynez’ sikkerhedstræning hjælpe med at samle certificeringsforberedelse og praktisk opkvalificering i et planlagt forløb. Det bør ses som et supplement til hands-on erfaring, ikke som en genvej uden laboratoriearbejde, portefølje og vedvarende øvelse.