Аналитик SOC: кто это и сколько зарабатывает в 2026

Аналитик SOC: кто это и за что ему платят

Аналитик SOC (Security Operations Center, центр мониторинга информационной безопасности) следит за событиями в инфраструктуре компании и решает, какие из них похожи на атаку. Он работает с алертами из SIEM, логами серверов и сетевыми соединениями, а на выходе отдаёт вовремя замеченный взлом и понятный отчёт о том, что уже сделано.

Платят ему не за то, что он «знает хакерские приёмы», а за скорость и точность решения. Большая часть алертов оказывается безобидной. Сотрудник ввёл пароль три раза подряд, администратор запустил скрипт ночью. Аналитик должен не пропустить один настоящий инцидент среди сотни таких сработок и при этом не поднимать панику на пустом месте.

Руководитель центра мониторинга Wildberries Иван Дьячков в материале Positive Education на SecurityLab описывает работу аналитика тремя частями. Сначала настроить видимость (телеметрию) по сети и хостам. Затем написать правила корреляции, которые сами находят «иголку в стоге сена». И наконец, организовать вывод злоумышленника из инфраструктуры.

Как один алерт проходит через SOC

В 03:10 SIEM фиксирует пять неудачных входов в учётную запись бухгалтера, затем успешный вход с незнакомого IP и запуск PowerShell на его компьютере. Правило корреляции склеивает эти события в один алерт с высоким приоритетом, и он падает в очередь дежурной смены.

Дальше работа идёт по шагам:

1. Проверка контекста (L1). Аналитик смотрит, работает ли бухгалтер удалённо, был ли этот IP раньше, что именно выполнил PowerShell. На это по плейбуку отводится ограниченное время.
2. Решение. Если объяснения нет, алерт становится инцидентом. Ложная сработка закрывается с комментарием, чтобы правило потом донастроили.
3. Эскалация (L2). Вторая линия выясняет, куда злоумышленник успел дотянуться: другие хосты, сервисные учётки, выгрузка файлов.
4. Сдерживание. Учётку блокируют, компьютер изолируют от сети, активные сессии завершают. Часть действий выполняет SOAR или IRP (платформа управления инцидентами) по готовому сценарию.
5. Разбор. После инцидента правило обнаружения уточняют, а смена записывает контекст так, чтобы утренняя команда продолжила без вопросов.

Чтобы описать увиденное общим языком, аналитики сверяются с базой MITRE ATT&CK. На октябрь 2026 года в матрице Enterprise (версия v19) 15 тактик и 267 техник атакующих. Связка T1110 (подбор пароля) и T1059.001 (PowerShell) однозначно читается в любом SOC, в отличие от абзаца свободного текста.

Сам алерт в российской компании чаще всего рождается в отечественной SIEM: MaxPatrol SIEM от Positive Technologies, KUMA от «Лаборатории Касперского» или RuSIEM. Интерфейсы разные, но логика разбора одна, поэтому опыт с одной системой переносится на другую.

Три линии SOC: чем L1 отличается от L2 и L3

Первая линия SOC разбирает поток алертов по инструкциям, вторая расследует инциденты и пишет правила обнаружения, третья берёт самые сложные случаи. Требования и зарплата от линии к линии растут заметно. Само деление условно и в каждой компании устроено по-своему, но классическая схема из трёх уровней встречается почти везде.

Пример задачи третьей линии из того же материала: логов нет, телеметрии ноль, известно только, что данные украли пять лет назад. Восстановить цепочку событий здесь помогает знание того, какие артефакты оставляют действия в ОС. Такой уровень не набирается курсами, только годами практики.

Расти можно и в сторону от линий. Из SOC уходят в форензику, киберразведку и даже в пентест, как отмечено в разборе профессии от «Солара»: годы на мониторинге дают насмотренность на реальные атаки изнутри.

Чем SOC-аналитик не является

Новички чаще всего принимают SOC-аналитика за хакера. На деле он защищающая сторона, то есть Blue Team, а атакующую роль по договору с компанией играет пентестер. Разницу между командами подробно разбирали в статье про Red Team и Blue Team.

Внутри самого центра мониторинга тоже есть несколько профессий, и их легко смешать:

• Инженер SOC подключает источники логов, поддерживает SIEM и агентов мониторинга. Он строит «приборную панель», аналитик по ней работает.
• Оператор SOC в ряде компаний стоит ниже L1 и сортирует события без глубокого разбора.
• Инженер по ИБ вне SOC внедряет средства защиты и настраивает доступы. Подробнее о границе этих ролей в материале про пентестера и специалиста по ИБ.

Эта разница важна при выборе обучения. Курс по этичному хакингу учит атаковать, а аналитику на старте нужнее умение читать логи Windows и понимать сетевой трафик. Общая карта направлений ИБ есть в статье о том, кто такой специалист по кибербезопасности.

Где работают аналитики SOC: in-house или коммерческий центр

Аналитики SOC работают либо во внутреннем центре мониторинга крупной компании, например банка или телеком-оператора, либо в коммерческом SOC, который продаёт мониторинг как услугу. Второй сегмент быстро растёт: в первом квартале 2025 года он прибавил 20% год к году, а весь российский рынок SOC оценивался в 25-27 млрд рублей (оценка «Спикател» на середину 2025 года, данные приводит Anti-Malware).

Для новичка это два разных опыта. В коммерческом SOC аналитик видит инфраструктуры десятков заказчиков и за год встречает больше типов атак. Услуга такого центра, по той же оценке, обходится клиенту в 5-10 млн рублей в год, поэтому там жёсткие сроки реагирования по договору и плотный поток алертов.

Во внутреннем SOC типов атак меньше, зато аналитик глубоко знает одну инфраструктуру и её бизнес-логику. Правила корреляции там пишут под специфику конкретной компании.

Коммерческие центры чаще набирают стажёров. Сотрудник IZ:SOC «Информзащиты» в статье на Хабре в 2023 году описывал, что стажировки там проходят несколько раз в год. Два месяца лекций и задач, затем экзамен, работа на реальных кейсах и собеседование с HR.

Что нужно знать на старте

Для первой линии достаточно крепкой базы по сетям, Windows и Linux плюс умения читать журналы событий; программировать на старте почти не требуется. Глубина в скриптах, правилах корреляции и форензике нужна позже, на L2 и L3. Работодатели проверяют именно базу, обычно через тестовое задание и техническое собеседование.

Что входит в эту базу:

• Сети. TCP/IP, DNS, HTTP и TLS, плюс умение открыть дамп трафика и понять, кто с кем и зачем соединялся.
• Windows и Active Directory. Журналы безопасности, учётные записи, группы и групповые политики.
• Linux. Системные журналы, процессы, права.
• Средства защиты. Как устроены SIEM, EDR, межсетевые экраны и DLP, какие события каждое из них отдаёт в мониторинг.
• Скрипты. PowerShell, Bash и SQL на уровне «понять, что делает чужой скрипт».
• Законы. 152-ФЗ о персональных данных и 187-ФЗ о безопасности критической информационной инфраструктуры, потому что от них зависят сроки и порядок уведомлений об инцидентах.

В той же статье 2023 года сказано, что на собеседовании в «Информзащите» часть вопросов посвящена утилитам двойного назначения (LOLBin/LOLBAS). Это легальные системные программы Windows, которые атакующие используют для своих целей. Хороший тест: если вы не видите, зачем злоумышленнику certutil, базы пока не хватает.

Практику можно получить без работодателя. Автор статьи советует поднять маленькую лабораторию в EVE-NG или PNet, развернуть open source SIEM (подойдёт, например, Wazuh), атаковать свой стенд и писать правила, которые эту атаку ловят. По его словам, с такими навыками кандидат выделяется на собеседованиях уже на старте карьеры.

Английский нужен на уровне чтения: отчёты о новых группировках, описания техник ATT&CK и документация SIEM чаще выходят без перевода. Сертификаты на старте вторичны, их ценность в России разобрана в статье о сертификатах по кибербезопасности.

Сколько зарабатывает аналитик SOC

Оператор SOC получает медианные 50 096 ₽ на руки, это самая низкооплачиваемая должность в анализе CISOCLUB по 2 798 вакансиям в ИБ с указанной зарплатой (с ноября 2025 по март 2026). Выборка по оператору небольшая, 24 вакансии, поэтому полезнее смотреть, как в той же базе растёт оплата в ИБ вместе с опытом.

Медиана для вакансий без опыта составляет 55 680 ₽, при стаже 1-3 года 85 000 ₽, 3-6 лет 130 500 ₽, больше 6 лет 190 000 ₽. Все суммы CISOCLUB пересчитал на руки.

Верхняя граница рынка заметно выше медиан. Руководитель SOC Wildberries говорит, что для первой линии встречаются вакансии до 200 000 ₽, а специалисты второй линии стоят примерно вдвое дороже, он видел предложения до 500 000 ₽. Для третьей линии суммы обсуждаются индивидуально.

Московская медиана линейного специалиста по ИБ в сентябре 2025 года составила 230 000 ₽ по исследованию SuperJob и Positive Technologies, которое пересказывает Anti-Malware. Это ориентир для опытного специалиста в столице. Новичку на L1 в регионе разумно ориентироваться на нижнюю часть вилки, подробнее о доходе по направлениям на странице профессии «Специалист по кибербезопасности».

Как попасть на первую линию и где учиться

Отдельной вузовской программы для аналитиков SOC, по словам Дьячкова, пока нет, поэтому реальных путей четыре: стажировка в ИБ-компании, переход из системного администрирования или техподдержки, профильный вуз по ИБ со стажировкой на старших курсах, либо курс с последующей лабораторной практикой. Самый частый из них, по его же оценке, это устроиться джуном туда, где SOC является основным направлением, и учиться у старших.

Спрос на людей с опытом выше, чем на новичков. По совместному исследованию hh.ru и «Солара», которое приводит ComNews, на ИБ приходится 5% всех IT-вакансий. Из них около 10% рассчитаны на стажёров и 20% на джунов, а 40% на миддлов. Первая работа даётся труднее всего, и стажировка часто короче путь, чем ещё один курс.

Сравнивая программы на SkillEdge, редакция заметила перекос: среди 21 курса по кибербезопасности в нашем каталоге нет ни одного, где в названии стоит «SOC» или «мониторинг». Зато в названиях многих есть «хакер», «хакинг» или «пентестер». В описаниях программ, которые есть в каталоге, слово SIEM не встречается ни разу, а реагирование на инциденты прямо названо только у Нетологии. Для профессии, где первая линия SOC остаётся одним из немногих входов для стажёров, это заметный перекос в сторону атаки.

Для будущего аналитика SOC полезнее общая программа по ИБ с модулями по сетям, Windows, SIEM и реагированию на инциденты. Цены курсов в каталоге лежат в диапазоне от 11 830 ₽ до 225 000 ₽. Три варианта по возрастанию цены:

• Короткий старт. Онлайн-курс по кибербезопасности Merion за 12 410 ₽ на 2 месяца, чтобы понять, интересна ли тема.
• Средний вариант. «Инженер по информационной безопасности» ProductStar за 60 134 ₽ на 9 месяцев. Название говорит о внедрении защиты, а не о мониторинге, поэтому перед оплатой уточните у школы, есть ли в программе SIEM.
• Длинная программа. «Специалист по информационной безопасности» Нетологии на 12 месяцев, единственная из трёх с прямо заявленным модулем по реагированию на инциденты. В каталоге она стоит 117 343 ₽ при медиане по направлению 60 134 ₽.

Перед оплатой откройте программу и проверьте, сколько часов уходит на мониторинг и разбор инцидентов, а сколько на эксплуатацию уязвимостей. Мы при сравнении курсов смотрим именно на это соотношение: если почти вся практика про взлом, такой курс готовит пентестера. Все программы по направлению собраны в каталоге курсов по кибербезопасности, а сопоставить две-три из них удобно в сравнении курсов по цене и сроку.

Если бэкграунда в IT нет совсем, путь длиннее, но реален: начать с техподдержки или администрирования, параллельно учить ИБ. Подробный разбор такого маршрута есть в статье о входе в кибербезопасность без IT-образования.

Кому подойдёт эта работа, а кому нет

Работа аналитика SOC подходит тем, кто любит разбираться в причинах, спокойно выдерживает однотипную рутину и не теряется в момент реального инцидента. Она плохо подходит тем, кто ждёт творческой «охоты на хакеров» с первого дня: на L1 большая часть смены уходит на проверку ложных сработок по инструкции.

Минусы стоит знать заранее:

• Ночи. Сменный график с ночными дежурствами на первой линии почти неизбежен, потому что мониторинг идёт круглосуточно.
• Монотонность. Десятки похожих алертов за смену утомляют быстрее сложных задач.
• Стартовые деньги. Зарплата на входе заметно ниже, чем обещает реклама курсов (цифры в разделе о зарплатах выше), и выход на доход 130 тысяч и выше обычно занимает несколько лет.

Через год-два на L1 у человека есть насмотренность на реальные атаки, которой нет у выпускника любого курса. Дальше открыт переход на L2, где, по оценке Дьячкова, платят примерно вдвое больше, или боковой переход в форензику и threat hunting.

Если вы выбираете между «хакерским» курсом и общей программой по ИБ ради работы в SOC, берите общую. А главную ставку делайте на стажировку или домашнюю лабораторию с SIEM, потому что именно практику спрашивают на собеседовании на первую линию.