Аналитик СИЕМ/ SIEM

Описание

Мы — «СёрчИнформ», делаем DLP, SIEM, DCAP и ещё несколько продуктов по внутренней безопасности. У нас своя SIEM, её используют несколько сотен компаний, и мы хотим, чтобы она ловила больше и ошибалась реже. Для этого ищем человека, который будет отвечать за детектирующий контент: правила, коннекторы, парсеры, вся экспертная начинка. Кто нам нужен. Аналитик, который давно и плотно работает с SIEM — не как оператор консоли, а как тот, кто сам пишет правила, подключает кривые источники, потом сидит и разбирается, почему правило стреляет по ночам на легитимный бэкап. Вендор не важен: MaxPatrol, KUMA, QRadar, Splunk, Wazuh, что угодно. Важно, чтобы вы понимали, как это устроено внутри, и могли перенести опыт на нашу платформу. Работа на стыке: с одной стороны заказчики и внедренцы с их инфраструктурой и вопросами «а почему не сработало», с другой — разработчики, которым нужно объяснить, чего не хватает в продукте. Если вам надоело настраивать чужую систему и хочется влиять на то, как устроена своя, — приходите. Что будете делать: Писать и дорабатывать правила корреляции, детекты, отчёты и дашборды. Подключать источники: Windows Event Log, Linux, AD, VPN, почтовые серверы, сетевое оборудование, базы данных, антивирусы, наша же DLP. Когда готового коннектора нет — разбирать формат и писать парсер с нуля. Ездить (или ходить по видеосвязи) на внедрения и пилоты: смотреть инфраструктуру заказчика, настраивать, тюнить правила, гасить ложные срабатывания. Быть последней инстанцией для поддержки, когда вопрос по детектам или источникам никто уже не может разобрать. Ставить задачи разработке: какие коннекторы нужны, чего не хватает в движке корреляции, что мешает на внедрениях. Писать документацию и базу знаний по детектам. Учить наших инженеров и партнёров. Следить за тем, что происходит в мире атак (MITRE ATT&CK, отчёты CERT, публичные разборы инцидентов) и превращать это в правила. Что нужно: От 5 лет работы с SIEM. Именно работы руками: контент, источники, администрирование, внедрение. Опыт, когда вы сами довели детект от идеи до рабочего правила с вменяемым количеством ложных срабатываний. Не одно правило, а много. Опыт подключения источника, для которого не было ничего готового. Хорошее знание логов Windows (Event ID, Sysmon, аудит AD, PowerShell) и Linux (syslog, auditd, журналы сервисов). Понимание сетей на уровне «вижу в логах, что тут не так»: TCP/IP, DNS, HTTP, VPN, NetFlow. Регулярные выражения — свободно. Скрипты на Python, PowerShell или Bash — уверенно. SQL на рабочем уровне. Плюс понимание, что бывает с базой, когда в неё летит много событий. Знание техник атак и их следов в логах, работа с MITRE ATT&CK на практике. Опыт общения с заказчиками: собрать требования, отстоять решение, разобрать конфликт. Умение объяснять сложное простыми словами — и заказчику, и разработчику, и в документации. Будет плюсом: SOC L3, threat hunting, руководство сменой или отделом. Работа на стороне вендора SIEM или интегратора. Sigma-правила и их конвертация под разные платформы. Знание требований ФСТЭК, 187-ФЗ, ГосСОПКА по мониторингу событий. Понимание того, как атакуют: основы пентеста, участие в red team. Опыт наставничества, выступлений на конференциях. Английский на уровне чтения документации.