przez analizę zagrożeń i wyszukiwanie podatności, monitorowanie, wykrywanie i analiza możliwych włamań w czasie rzeczywistym oraz w ramach polowania na zagrożenia, reagowanie na potwierdzone incydenty i koordynowanie środków zaradczych, informowanie o stanie bezpieczeństwa, incydentach i zmianach w działaniach napastników, budowa i utrzymanie narzędzi SOC, takich jak czujniki na komputerach i w sieci oraz systemy zbierania i analizy dzienników zdarzeń.
W miarę dojrzewania SOC może rozszerzać działalność o polowanie na zagrożenia, działania typu red team, technologie zwodzenia, analizę złośliwego oprogramowania, informatykę śledczą i ćwiczenia sztabowe. Do obszaru symulacji ataków MITRE zalicza także testy penetracyjne, choć często prowadzi je zespół odpowiedzialny za zarządzanie podatnościami.
Sposób działania SOC gromadzi i analizuje duże ilości danych istotnych dla bezpieczeństwa, pochodzących m.in. z czujników instalowanych na komputerach (EDR), z metadanych ruchu sieciowego oraz z dzienników zdarzeń systemów i aplikacji. Typowy SOC przetwarza od milionów do dziesiątek miliardów zdarzeń dziennie.