SOC analyst: cosa fa, livelli L1, L2, L3 e strumenti

Un SOC analyst è la persona che, dentro un Security Operations Center, sorveglia gli eventi di sicurezza di un'azienda, separa gli alert veri dai falsi positivi, indaga sui casi sospetti, avvia la risposta e documenta ogni incidente. Di solito lavora su livelli: l'L1 fa il triage, l'L2 indaga a fondo, l'L3 caccia le minacce e scrive le regole di rilevamento.

Qui trovi cosa fa in concreto, come si divide il lavoro fra i livelli, quali strumenti usa, come cambia il mestiere con gli agenti AI e cosa vuol dire per un'azienda avere analisti propri o affidarsi a un SOC gestito. Se ti serve prima il quadro del centro operativo nel suo insieme, parti da cos'è un SOC.

Cosa fa un SOC analyst

Due framework pubblici descrivono il ruolo, e conviene partire da lì invece che dagli annunci di lavoro.

Lo European Cybersecurity Skills Framework (ECSF) dell'ENISA, pubblicato a settembre 2022, organizza le professioni della sicurezza in 12 profili. Il SOC analyst non ha un profilo a sé: compare fra i titoli alternativi del profilo Cyber Incident Responder, la cui missione, in sintesi, è monitorare lo stato di sicurezza dell'organizzazione, gestire gli incidenti durante un attacco e assicurare che i sistemi ICT continuino a funzionare. Nel NICE Framework statunitense il ruolo più vicino è Defensive Cybersecurity (PD-WRL-001), descritto come responsabile dell'analisi dei dati raccolti dagli strumenti di sicurezza per mitigare i rischi.

Messi insieme, i compiti elencati dai due framework disegnano una giornata riconoscibile:

• Monitoraggio continuo dell'attività di sistemi e reti, attraverso le console degli strumenti di sicurezza.
• Validazione degli alert: verificare se una segnalazione corrisponde a qualcosa di reale e distinguere l'attività innocua da quella potenzialmente malevola.
• Indagine: correlare informazioni da più fonti, ricostruire cosa è successo, valutare l'impatto sui sistemi e sui dati.
• Escalation: passare al livello successivo, o a chi gestisce l'incidente, i casi che possono avere un impatto in corso o immediato.
• Contenimento: isolare una macchina, rimuovere un malware, bloccare un account, secondo le procedure concordate.
• Documentazione: ogni incidente va descritto, con le azioni prese. Il rapporto sull'incidente è uno dei deliverable che l'ECSF assegna al profilo.
• Comunicazione: riferire a chi deve decidere e collaborare con il personale che gestisce le segnalazioni previste dalla legge.

Il punto che sfugge a chi guarda il ruolo da fuori è l'ordine di lavoro. NIST SP 800-61r3, la guida all'incident response rivista ad aprile 2025, raccomanda di non gestire gli incidenti in ordine di arrivo e di basare triage ed escalation su fattori di rischio. L'analista non svuota una coda dall'alto verso il basso: decide continuamente cosa guardare prima.

I livelli: L1, L2 e L3

La divisione in livelli è frequente, ma non è l'unica struttura. Nel libro 11 Strategies of a World-Class Cybersecurity Operations Center (2022), MITRE usa le etichette tier 1 e tier 2+ per distinguere chi fa il triage degli alert in prima linea da chi fa indagine, analisi e risposta approfondite. Lo stesso testo precisa che non tutti i SOC sono organizzati così: alcuni si strutturano per funzione, e funzionano entrambi i modelli. Osserva però che molti SOC con più di una dozzina di analisti trovano necessario dividere il lavoro in livelli.

L1: triage in prima linea

L'analista di primo livello lavora sulla coda degli alert. Per ciascuno raccoglie il contesto, decide se è un falso positivo, lo chiude o lo passa avanti con una prima descrizione. Segue playbook scritti per i casi ricorrenti. MITRE indica come riferimento che nessun alert resti senza triage oltre l'obiettivo di servizio fissato per il triage, che di solito è inferiore a un'ora, e mette in guardia dal chiudere gli alert troppo in fretta per far tornare i numeri.

L2: indagine e risposta

Il secondo livello prende i casi che hanno superato il primo filtro. Ricostruisce la sequenza dell'attacco, verifica se altri sistemi sono coinvolti, decide o propone il contenimento e segue l'incidente fino alla chiusura. È il livello che parla più spesso con l'IT dell'azienda, perché il contenimento passa da sistemi che il SOC non amministra.

L3: caccia alle minacce e regole di rilevamento

Il terzo livello gestisce gli incidenti più complessi e lavora anche quando non suona nessun allarme: cerca in modo attivo tracce di attaccanti che le regole non hanno visto (threat hunting), analizza malware e scrive o corregge le regole di rilevamento. È il livello che decide quanto rumore arriverà domani all'L1.

I ruoli vicini

Nei SOC più grandi alcune attività diventano ruoli separati. L'ECSF descrive a parte il Cyber Threat Intelligence Specialist, che segue tattiche, tecniche e procedure degli attaccanti e produce report di intelligence utilizzabili dal SOC. Altri ruoli ricorrenti sono il detection engineer, che scrive e mantiene le regole, e l'incident responder dedicato agli interventi più gravi.

Gli strumenti di un SOC analyst

L'analista passa la giornata dentro pochi strumenti, che devono parlarsi tra loro:

• SIEM: raccoglie e correla i log di sistemi, rete e applicazioni e genera gli alert su cui si lavora. È il centro del lavoro quotidiano, e lo spieghiamo in SIEM: cos'è e come funziona.
• EDR o XDR: mostrano cosa succede sugli endpoint e permettono di agire, per esempio isolando una macchina.
• SOAR: esegue i playbook, cioè le sequenze di passi ripetitivi (arricchire un alert, aprire un caso, bloccare un indirizzo) che altrimenti l'analista farebbe a mano.
• Intelligence sulle minacce: indicatori, campagne e gruppi già osservati da altri, per riconoscere in fretta ciò che è noto.
• Gestione dei casi: il registro in cui ogni incidente ha una storia, un responsabile e uno stato.
• MITRE ATT&CK: la base di conoscenza pubblica di tattiche e tecniche degli attaccanti, costruita su osservazioni reali. Serve a dare un nome comune a ciò che si vede e a capire quali tecniche le regole coprono e quali no.

Sul modo di misurare questo lavoro l'ENISA, nella guida How to set up CSIRT and SOC (dicembre 2020), elenca gli indicatori tipici dei SOC: velocità, ampiezza e copertura del rilevamento, tasso di falsi positivi, incidenti gestiti, rapporto fra alert, eventi e incidenti, numero di escalation e carico di lavoro per incidente.

Le competenze che servono

Fra le competenze chiave del profilo Cyber Incident Responder l'ECSF elenca la gestione pratica degli incidenti, la capacità di raccogliere e correlare informazioni sulle minacce da più fonti, il lavoro su sistemi operativi, server e cloud, l'analisi dei file di log, la capacità di comunicare con chi deve decidere e quella di lavorare sotto pressione. Fra le conoscenze mette anche le leggi e i regolamenti che riguardano la sicurezza. Non è un dettaglio: un incidente può far scattare obblighi di notifica, e l'analista è spesso il primo a vederlo.

Per chi cerca il ruolo come percorso professionale, MITRE descrive il primo livello come una posizione di crescita: la maggior parte dei professionisti dei SOC ha iniziato come analista junior, e lavorare sulla coda degli alert è un'esperienza che forma.

Come cambia il lavoro con agenti AI e orchestrazione

Il primo livello è quello più esposto al volume. Quando le regole non sono calibrate, la coda cresce più in fretta di quanto le persone possano leggerla, ed è il problema che descriviamo in alert fatigue nel SOC.

MITRE affronta la domanda in modo diretto. Alcuni SOC sostengono di non aver più bisogno del primo livello grazie a SIEM e SOAR: secondo il libro, in realtà hanno spostato persone dal triage verso detection migliori e arricchimento dei dati, riducendo ma non eliminando chi fa triage. Nello stesso capitolo, parlando del SIEM, il libro è netto: "There is no replacement for the human analyst."

Gli agenti AI spingono nella stessa direzione. Raccogliere il contesto di un alert, confrontarlo con i casi già visti, scartare il rumore evidente e preparare l'indagine sono passaggi ripetitivi che un agente può prendere in carico, con un registro di cosa ha fatto. All'analista resta la parte che conta: decidere se è un incidente, cosa contenere, chi avvisare. È il modello su cui costruiamo il nostro Agentic SOC.

Analisti interni o SOC gestito: cosa cambia per l'azienda

Per un'azienda mid-market la domanda pratica non è cosa fa un SOC analyst, ma dove trovarne abbastanza per coprire tutte le ore. Due fatti pesano.

• La copertura continua moltiplica le persone. L'ENISA calcola che per presidiare 24 ore su 24 con turni da otto ore, festivi compresi, servono sei squadre. Fra le alternative che indica c'è proprio affidare a una parte esterna il monitoraggio notturno e del fine settimana per il triage iniziale.
• Le persone sono difficili da trovare. Nel rapporto NIS Investments 2025 dell'ENISA, basato su 1.080 professionisti dei settori NIS, la difficoltà di trovare candidati con le competenze richieste è la prima barriera alle assunzioni in cybersecurity, indicata dal 45%.

Per questo i modelli reali sono tre: analisti tutti interni, tutto in mano a un fornitore, oppure un ibrido in cui il team interno lavora di giorno e un SOC gestito copre notti e weekend. L'ENISA osserva che i SOC possono avere personale interno, esterno o misto, e che nel tempo spesso passano da un modello all'altro.

Chi sceglie un modello gestito o ibrido dovrebbe chiedere al fornitore come lavorano i suoi analisti, non solo quali strumenti usa:

1. Chi guarda gli alert, e a che livello? Quanti livelli ci sono, chi decide il contenimento, chi ti chiama e quando.
2. Quali tempi di triage e di escalation? Vanno scritti, per gravità, come livelli di servizio.
3. Cosa arriva a te e cosa no? MITRE avverte che il contratto deve evitare due rischi opposti: un fornitore sommerso da alert non filtrati e un cliente sommerso da escalation di bassa qualità.
4. Chi calibra le regole sul tuo ambiente? Senza un ciclo di ritorno fra chi fa triage e chi scrive le regole, il rumore resta lo stesso.
5. Cosa fa il tuo team? Un SOC gestito non toglie all'IT interno il contenimento sui sistemi che amministra: va stabilito chi fa cosa prima del primo incidente.

Il confronto completo, con vantaggi e limiti delle due strade, è in SOC interno vs SOC gestito.

In sintesi: il SOC analyst sorveglia, verifica gli alert, indaga, avvia la risposta e documenta. L'ECSF lo colloca nel profilo Cyber Incident Responder, il NICE Framework nel ruolo Defensive Cybersecurity. Molti SOC lo organizzano su tre livelli, altri per funzione. Gli strumenti sono SIEM, EDR o XDR, SOAR, intelligence e MITRE ATT&CK, e gli agenti AI spostano il suo tempo dal triage alle decisioni. Per un'azienda il nodo è la copertura continua: poche realtà mid-market riescono a garantirla solo con persone proprie.

Se stai valutando come coprire monitoraggio, triage e risposta 24 ore su 24 senza costruire un team di turnisti, trovi come lavoriamo nella pagina dei servizi di cybersecurity.