EC-Council Certified SOC Analyst (312-39 CSA)

**搞不清 SIEM 的关联规则用例 vs 检测规则** — CSA 高频考点。SIEM 里的 **Use Case（用例）** 是业务视角的检测目标（"检测未授权的管理员登录"），**Correlation Rule（关联规则）** 是技术实现（"当 Event ID 4672 在非工作时间触发 AND 源 IP 不在白名单时告警"）。题目经常给一个业务描述让你选对应的关联规则，或给一条规则让你选它解决的 use case。记住层级：Use Case → Correlation Rule → SIEM Alert → SOC Ticket。

**日志来源和解析方式张冠李戴** — **Windows** 用 WEF/WEC 或 winlogbeat 收集 EVTX 日志，字段是 Event ID + XML；**Linux** 用 syslog / rsyslog / journald，字段是纯文本 + 时间戳；**Apache / Nginx** 是 CLF 或 Combined Log Format 的空格分隔文本；**IIS** 是 W3C 格式，字段顺序可配置；**网络设备** Cisco ASA 用 syslog，Palo Alto 用 CEF 或 LEEF。题目会给一段日志片段问"这是哪种来源 / 该用哪个 parser"，搞不清日志格式就丢分。

**IoC 类型混淆 — 特别是 Behavioral IoC 和 Host-based IoC** — Host-based IoC 是**静态指标**（文件哈希 SHA256、注册表键 HKLM\...\Run、mutex 名字、恶意 DLL 文件名）；Behavioral IoC 是**动态行为**（PowerShell 启动 Word、异常登录时间、DNS 查询量突增、数据外传 GB 量级）。考试看到"hash / registry / filename"选 Host-based，看到"pattern / anomaly / behavior"选 Behavioral。另一个坑：**IoC 是事后证据，IoA 是攻击进行中的行为信号**（CrowdStrike 概念），别把 IoA 和 Behavioral IoC 划等号。

**威胁情报来源的分类用错** — 按**可见性**：Open Source（OSINT：VirusTotal、AlienVault OTX、abuse.ch、Shodan）/ Closed Source（商业订阅：Recorded Future、Mandiant、CrowdStrike Falcon X）/ Internal Source（本组织 SIEM、EDR、honeypot 遥测）；按**情报层级**：Strategic（给 CISO/董事会）/ Operational（给 IR 团队）/ Tactical（给 SOC analyst，IOC 列表）/ Technical（给 tooling/detection 工程师，payload 样本）。题目"CISO 想了解未来 6 个月针对金融业的威胁趋势"答 Strategic；"SOC 分析师需要最新的恶意 IP feed"答 Tactical。

**Tier 1 升级标准拍脑袋** — CSA 考的不是"凭感觉升不升级"，是**明确的 escalation criteria**：告警涉及**关键资产**（Domain Controller、PCI CDE、SCADA 主机）→ 立刻升 Tier 2；涉及**多个主机 / 横向移动迹象** → 升 Tier 2；涉及**数据外传确认** → 升 IR Lead；单一 endpoint 的已知 signature malware 且 EDR 已隔离 → Tier 1 自己关闭并记录。题目会给场景让你选下一步动作，凭感觉选 "escalate to Tier 3" 会错 — CSA 标准答案通常是先 Tier 2。

**NIST SP 800-61 和 SANS PICERL 事件响应步骤数量搞混** — NIST 是 **4 步**（Preparation → Detection & Analysis → Containment/Eradication/Recovery → Post-Incident Activity），SANS PICERL 是 **6 步**（Preparation → Identification → Containment → Eradication → Recovery → Lessons Learned）。CSA 官方教材主用 **NIST 版本**。题目问"according to NIST"时别套 SANS 的六步法，是经典送分题反被坑。

**把 SIEM 日常工作当成写复杂查询** — 新手以为 SOC Tier 1 每天在 Splunk 里写 SPL，真实情况是：**80% 时间在处理 SIEM 已经生成的告警队列**（triage），**15% 时间在调整误报规则**，**5% 时间才在自由查询**。考试场景题问 "Tier 1 分析师收到一条 SIEM 告警后的第一步应该做什么" 答案是**收集上下文（主机信息、用户信息、时间线、关联告警）**，不是"立刻写一个 SPL 查询验证"。