Een tier 3-analist is het laatste escalatiepunt in een SOC. Tier 1 beoordeelt meldingen, tier 2 onderzoekt ze, en wat tier 2 niet kan verklaren komt bij tier 3 terecht. Het is ook de laag die bij een organisatiebreed incident de regie neemt over het onderzoek. Zonder een SOC tier 3-analist stopt de keten bij tier 2, en alles wat daarboven valt gaat naar buiten of blijft liggen.
Veel organisaties merken het ontbreken van die laag pas wanneer ze hem nodig hebben. Een incident dat meerdere systemen raakt, een stuk malware dat niemand herkent, een vermoeden zonder bijbehorende melding. Op dat moment blijkt dat het team kan reageren, en niet kan onderzoeken. Het hoogste analistenniveau is precies de laag die dat gat vult.
Wat tier 3 anders doet
Het verschil met tier 2 is kwalitatief. Tier 2 reageert op wat binnenkomt en werkt een melding grondig af. Een tier 3-analist werkt zonder melding: hij formuleert zelf een hypothese over wat er in het netwerk zou kunnen gebeuren, en toetst die tegen logdata en endpointgegevens. Dat is threat hunting, en het is werk dat pas begint waar automatische detectie ophoudt. Een aanvaller die zijn werk goed doet, zorgt er juist voor dat hij geen alarm veroorzaakt.
Zulke hypotheses worden meestal gebouwd op MITRE ATT&CK, dat technieken van aanvallers beschrijft op basis van waargenomen aanvallen. Een tier 3-analist gebruikt dat kader om te redeneren vanuit wat een aanvaller zou doen, in plaats van te wachten tot een tool het signaleert. Stel dat een aanvaller zich via een geldig account voortbeweegt: welke sporen laat dat na, in welk logbestand, en op welk tijdstip? Die vraag stellen is het werk. Hoe je daarmee begint met je huidige bezetting beschreven we bij threat hunting opzetten met je bestaande team.
De senior analist verbetert ook de detectie zelf. Een terugkerende valse melding wordt op tier 2 telkens handmatig gesloten; een tier 3-analist herschrijft de regel zodat het probleem verdwijnt. Dat effect is niet spectaculair, en het scheelt het team elke week uren. Op jaarbasis is dit vaak de grootste tijdwinst van deze rol.
Wat er verandert aan escalaties
Het nut van tier 3 laat zich het best zien aan wat er gebeurt met een escalatie die tier 2 niet kan afronden.
| Situatie | Zonder tier 3 | Met tier 3 |
| Onbekende malware op een werkplek | Naar een extern bureau, dagen wachten | Intern geanalyseerd, dezelfde dag duidelijkheid |
| Verdacht gedrag zonder alarm | Niemand kijkt, want er is geen melding | Een hypothese wordt getoetst |
| Aanval over meerdere systemen | Losse tickets per systeem | Eén gereconstrueerde aanvalsketen |
| Terugkerende valse meldingen | Tier 2 sluit ze telkens handmatig | De detectieregel wordt herschreven |
| Vraag van de directie | Technisch verslag zonder conclusie | Oorzaak, impact en wat er verandert |
De eerste regel weegt financieel het zwaarst. Een extern forensisch bureau is bij een acuut incident snel duur en niet altijd direct beschikbaar, en elke dag wachten is een dag waarin een aanvaller kan blijven. De laatste regel weegt bestuurlijk het zwaarst, omdat een directie beslissingen neemt op basis van wat er wordt uitgelegd. Een tier 3-analist levert de verklaring waar tier 2 een verslag levert. Het NCSC beschrijft bij het opstellen van een incidentresponsplan een analysefase waarin je vaststelt wat er is gebeurd, hoe groot het incident is en welke gegevens je verzamelt. Op tier 3-niveau wordt die fase grondig uitgevoerd in plaats van afgevinkt.
De SOC-werkgroep van FIRST benoemt in haar missie voor SOC-teams dat problemen ontstaan uit verschillen in kennis en vaardigheden tussen mensen, en dat teams die overspoeld raken door data trager gaan detecteren. Tier 3 is de laag die de hoeveelheid ruis structureel omlaag brengt, en daarmee de rest van het team ontlast. Wat overbelasting met analisten doet beschreven we bij alert fatigue en burn-outpreventie.
Wanneer je eraan toe bent
Tier 3 opbouwen heeft pas zin als tier 1 en tier 2 stabiel draaien. Een tier 3-analist die de helft van zijn tijd besteedt aan het opvangen van een onderbezette eerste lijn, komt nooit aan huntingwerk toe en wordt in de praktijk een dure tier 2-analist. Drie signalen wijzen erop dat de organisatie er klaar voor is.
Het eerste is dat tier 2 regelmatig incidenten niet kan afronden en ze naar buiten stuurt. Het tweede is dat dezelfde valse meldingen maand na maand terugkomen zonder dat iemand de tijd heeft om de oorzaak aan te pakken. De wachtrij groeit, terwijl het aantal echte incidenten gelijk blijft. Het derde is dat de directie vragen stelt die het team niet kan beantwoorden: hoe kwamen ze binnen, hoe lang zaten ze er al, en kan het nog een keer gebeuren.
Herken je geen van drieën, dan ligt de prioriteit eerder bij een sterke tweede lijn. Het onderscheid tussen die niveaus werkten we uit bij tier 1 versus tier 2 en bij het samenstellen van een SOC-team.
Waarom dit niveau vrijwel altijd intern groeit
Tier 3 is geen instapniveau, en dat is letterlijk zo. Voor de opleiding SOC T3 Analyst is minimaal een jaar werkervaring als tier 1- of tier 2-analist vereist, gecombineerd met diepgaande kennis van netwerken, SIEM en EDR, en toelating verloopt via een intake-assessment. Een tier 3-analist is dus per definitie iemand die al in een SOC heeft gewerkt.
Er is een tweede reden, en die weegt zwaarder. Het werk van een tier 3-analist bestaat voor een groot deel uit het herkennen van wat niet klopt in één specifieke omgeving. Iemand die jouw netwerk twee jaar kent, weet welk verkeer normaal is op een dinsdagnacht en welke service-account nooit interactief inlogt. Iemand van buiten mist precies die kennis, en die laat zich niet in een inwerkperiode van drie maanden overdragen.
Een derde reden is behoud. Een ervaren tier 2-analist die geen doorgroeipad ziet, is een vertrekrisico, en in een krappe markt vertrekt hij naar een organisatie die dat pad wel biedt. Het tier 3-traject is dat pad, en wie het binnen de organisatie aanbiedt, houdt zijn beste mensen vast op het moment dat ze het meest waard zijn. Dat verband werkten we uit bij het carrierepad als retentie-instrument.
Wat een SOC tier 3-analist leert
Het programma voor de tier 3-analist omvat 250 academische uren, verdeeld over drie modules op expertniveau. De lessen zijn in het Nederlands, de leerstof, tools en examens in het Engels, wat ook de standaard is in het vakgebied. De eerste gaat over threat hunting en detection engineering: hypotheses formuleren op basis van aanvallerstechnieken, logdata en endpointgegevens doorzoeken, en eigen detectieregels bouwen in YARA en Sigma.
De tweede module gaat over digitaal forensisch onderzoek, incidentrespons en malware-analyse: de volledige aanvalsketen reconstrueren, geheugenanalyse met Volatility, netwerkforensics, reverse engineering van onbekende malware en onderzoek in cloudomgevingen van Azure, AWS en GCP. De derde module behandelt automatisering: responsplaybooks ontwerpen die SIEM, EDR, ticketing en threat intelligence verbinden, en scripts in Python voor triage en inperking.
Die derde module verdient een aparte opmerking. Automatisering werkt alleen als iemand het werk begrijpt dat wordt geautomatiseerd, en dat is precies waarom het op tier 3-niveau thuishoort. Waarom playbooks zonder die kennis mislukken beschreven we bij SOAR-implementatie als teamvraagstuk.
Hoe je het traject inplant
De fulltime variant duurt ongeveer tien weken bij 32 uur per week, de deeltijdvariant vijf tot zes maanden bij 16 uur per week. Voor een SOC dat dag en nacht draait is de deeltijdvariant meestal de enige werkbare, omdat een ervaren analist tien weken volledig missen zelden kan. Juist de meest ervaren analist is doorgaans degene die het team het hardst nodig heeft. Alle leervormen zijn hybride, met volledig online op aanvraag.
Een tier 3-traject heeft geen vaste startdatum en wordt op aanvraag ingepland, wat voor een team met dienstroosters juist gunstig is. Plan het rond een rustigere periode en regel vooraf wie het werk van de deelnemer opvangt. Omdat er een intake-assessment aan voorafgaat, kan de planning pas definitief worden wanneer de toelating rond is. De randvoorwaarden daarvoor staan in de voorbereiding voordat een opleidingstraject begint.
Leg ook vooraf vast wat de deelnemer na afloop doet. Een tier 3-analist die terugkomt in dezelfde rol met dezelfde wachtrij, verliest binnen een kwartaal het grootste deel van wat hij leerde. Reserveer vanaf de eerste maand vaste tijd voor huntingwerk en detectieverbetering, ook als de wachtrij vol staat. Een tier 3-analist zonder beschermde huntingtijd is binnen een halfjaar weer tier 2.
De rest van het team groeit mee
Het effect van één tier 3-analist reikt voorbij zijn eigen werk. Tier 2 krijgt iemand om van te leren, detectieregels worden beter, en het team krijgt voor het eerst een eigen antwoord op de vraag hoe een incident is ontstaan. Dat laatste verandert ook het gesprek met de directie, omdat je voortaan kunt uitleggen wat er gebeurde en wat je eraan hebt veranderd. De European Cybersecurity Skills Framework van ENISA helpt om die rol en de rollen eromheen scherp te beschrijven.
Wie nog aan het begin staat, begint bij de eerste lijn: de opleiding SOC T1 + T2 Analyst legt de basis waarop een tier 3-analist later voortbouwt. Op de pagina voor werkgevers staan de in-company mogelijkheden en het volledige opleidingsaanbod is per niveau geordend. Wil je bespreken of je team klaar is voor tier 3, plan dan een kennismaking.
