De suport tècnic a SOC: el que va canviar no va ser el lloc
El salt de donar suport a més de 100 usuaris a triar alertes en un SOC no va ser un canvi de títol d'un dia per l'altre. Va ser un canvi en la pregunta davant de cada tasca repetitiva.
- carrera
- soc
- blue-team
- automatizacion
Vaig començar donant suport tècnic a més de cent usuaris: contrasenyes bloquejades, administració d'Active Directory, el dia a dia habitual de qualsevol que comença en IT. No hi ha res dolent en aquesta feina: de fet és on vaig aprendre més del que esperava. Però hi ha un moment en què comences a veure patrons, i aquest moment és el que ningú t'explica per endavant.
El tiquet número quaranta i tants
La primera vegada que restableixes una contrasenya és un tràmit. La vegada quaranta i tants, comences a preguntar-te per què el procés continua sent manual. Aquest va ser el meu patró: no va ser una vocació sobtada, va ser la irritació acumulada de repetir el mateix sense que ningú es plantegés automatitzar-ho. Allà vaig començar a escriure els primers scripts en Python, no en un curs, sinó per resoldre tasques concretes del dia a dia.
El pas intermedi que ningú esmenta
De suport no vaig passar directe a SOC. Vaig passar abans per administrar FortiGate i FortiAnalyzer, i per respondre incidents de nivell 1 i 2. Aquest pas intermedi importa més del que sembla: entendre la xarxa des de dins, tocant tallafocs i veient trànsit real, és el que després fa que triar una alerta XDR tingui sentit en lloc de ser una etiqueta de severitat sense context.
El canvi real no va ser de títol
Passar a analista de SOC no va ser un canvi d'un dia per l'altre. Va ser un canvi en la pregunta que em feia davant de cada tasca repetitiva: de com ho resolc a com faig que això no torni a passar. Aquest gir és el que, amb el temps, porta de gestionar tiquets a gestionar risc.
El que m'hauria agradat saber abans
- El suport de nivell 1 no és un peatge, és formació. Veure per què un usuari fa alguna cosa «malament» ensenya a dissenyar sistemes que fallen menys.
- Ningú et demanarà que automatitzis res. El primer script que vaig escriure per estalviar-me feina no me'l va demanar ningú.
- El SOC no és una destinació, és continuar fent la mateixa pregunta. Continuo automatitzant coses que abans feia a mà, el mateix impuls que el primer script de restabliment de contrasenyes.
Si ets a suport tècnic i sents que encara no estàs llest per fer el salt: probablement ja tens la part més difícil, que és entendre la infraestructura real, amb usuaris reals trencant-la de maneres que cap curs ensenya. El que falta no és més teoria: és començar a preguntar-te, davant de cada tasca repetitiva, com evitar que torni a passar.