Qual é a diferença entre analista L1, L2 e L3 em um SOC?

O analista L1 realiza triagem inicial de alertas e aplica playbooks predefinidos. O L2 investiga alertas escalados, conduz análise de causa raiz e coordena a resposta a incidentes. O L3 atua em threat hunting proativo, análise forense avançada e desenvolvimento de novas capacidades de detecção. A principal distinção está no grau de autonomia e profundidade técnica exigidos em cada nível.

Quantos analistas L1 são necessários para cada analista L2?

A proporção típica em SOCs maduros é de 3 a 5 analistas L1 por analista L2. Essa relação depende do volume de alertas, do nível de automação via SOAR e da taxa de escalonamento aceitável. SOCs com SOAR bem configurado podem operar com proporções menores, pois automação absorve parcela significativa do trabalho de triagem.

O que é um modelo de SOC 'tierless' (sem tiers)?

No modelo tierless, a distinção rígida entre L1, L2 e L3 é eliminada em favor de equipes multidisciplinares organizadas por domínio (endpoint, cloud, identidade etc.). Cada analista trata um incidente do início ao fim, eliminando o gargalo de escalonamento. Esse modelo requer analistas com perfil mais amplo e é viabilizado pela automação de tarefas repetitivas via SOAR e IA.

Quais métricas definem a performance de cada tier do SOC?

Para L1, as métricas centrais são MTTD (Mean Time to Detect), taxa de falsos positivos e volume de alertas por analista/hora. Para L2, destacam-se MTTR (Mean Time to Respond), taxa de contenção no primeiro escalonamento e precisão no fechamento de incidentes. Para L3, as métricas incluem número de novas regras de detecção criadas, cobertura MITRE ATT&CK e achados gerados por threat hunting.

Vale mais a pena ter um SOC próprio ou contratar um MDR?

SOC próprio oferece controle total sobre dados, customização de regras e conhecimento aprofundado do ambiente. Porém, requer investimento alto em pessoal, tecnologia e operação 24x7. MDR (Managed Detection and Response) entrega cobertura imediata, equipe especializada e custo previsível — sendo especialmente adequado para empresas sem maturidade ou escala para sustentar um SOC interno. Muitas organizações adotam modelo híbrido: SIEM/SOAR interno com cobertura MDR para o turno noturno ou especialidades específicas.

Como a automação e SOAR afetam a estrutura de tiers do SOC?

Plataformas SOAR automatizam até 80% das tarefas de L1 — triagem de alertas conhecidos, enriquecimento de IoCs e contenção inicial — reduzindo a necessidade de analistas de primeiro nível para trabalho manual. Isso desloca o valor humano para investigação contextual (L2) e criação de inteligência (L3). O efeito prático é a valorização de analistas com habilidades analíticas profundas, em detrimento de perfis puramente operacionais.

SOC Tier Structure (Tier 1-3) | Decripte Security

Understand the hierarchical structure of a Security Operations Center, the responsibilities of each tier, career progression and required skills.

SOC Tier Structure (Tier 1-3)

The tier structure of a Security Operations Center defines clear responsibilities, efficient escalation processes and well-defined career progression paths.

Tier 1: Front-Line Analysts

Tier 1 analysts are the first line of defense, performing initial alert triage and continuous 24x7 monitoring.

Alert monitoring: Analysis of events from SIEM, IDS/IPS, EDR
Initial triage: Classification of false positives vs true positives
Playbook response: Execution of standardized procedures
Documentation: Detailed logging of all incidents
Escalation: Forwarding complex cases to Tier 2

Tier 2: Incident Response Analysts

Tier 2 analysts perform in-depth investigations and coordinate responses to more complex incidents.

Deep investigation: Forensic analysis, event correlation
Malware analysis: Basic reverse engineering, behavioral analysis
Threat hunting: Proactive, hypothesis-driven threat hunting
Response coordination: Orchestration of containment and remediation
Detection refinement: Creation and tuning of SIEM rules

Tier 3: Specialists and Hunters

Tier 3 comprises specialists who deal with advanced threats and develop the SOC's capabilities.

APT and advanced threats: Investigation of sophisticated campaigns
Advanced forensic analysis: Memory forensics, timeline reconstruction
Detection development: Creation of new signatures and rules
Threat intelligence: Strategic analysis of TTPs and threat actors
Continuous improvement: Optimization of processes and tools

Skills by Tier

Tier 1

Networking and operating system fundamentals
Basic SIEM (Splunk, QRadar, Sentinel)
Log and event analysis
Certifications: Security+, CEH, GIAC GSEC

Tier 2

Digital forensics and malware analysis
Scripting (Python, PowerShell)
MITRE ATT&CK frameworks, Cyber Kill Chain
Certifications: GCIH, GCIA, OSCP

Tier 3

Advanced reverse engineering
Complex security architecture
Development of custom tools
Certifications: GREM, GCFA, OSEE

Performance Metrics

MTTD (Mean Time To Detect): Average time to detect threats
MTTR (Mean Time To Respond): Average response time
False positive rate: Detection accuracy
Alert coverage: % of alerts analyzed within SLA
Appropriate escalation: Quality of escalations between tiers

Career Progression

Typical progression takes 2-3 years at each tier, depending on skills, certifications and hands-on experience. Tier 3 can evolve into SOC Manager, Threat Hunter Lead or Security Architect positions.

Final Recommendations

A well-defined tier structure maximizes operational efficiency, enables structured professional growth and ensures that every incident receives the appropriate level of expertise. Investment in continuous training and clear escalation processes are fundamental to the SOC's success.