Специалист по информационной безопасности / SOC-аналитик (СВР EDR)
Описание
Мы ищем специалиста по информационной безопасности, который будет участвовать в развитии системы СВР EDR с позиции практического пользователя, SOC-аналитика и эксперта по киберугрозам. Основная задача роли - помогать формировать требования к функциональности EDR, участвовать в настройке и эксплуатации системы для внутреннего использования, анализировать события безопасности, разрабатывать сценарии обнаружения угроз и предлагать улучшения продукта на основе актуального ландшафта угроз и практики расследования инцидентов. Чем предстоит заниматься Аналитика требований и развитие продукта: Формировать функциональные и экспертные требования к системе СВР EDR в части информационной безопасности. Описывать сценарии работы SOC-аналитиков, администраторов ИБ и специалистов по реагированию на инциденты. Участвовать в проработке требований к сбору телеметрии с конечных устройств. Формировать требования к механизмам обнаружения угроз: IoC, IoA, поведенческие и корреляционные правила, исключения, подавления и приоритизация событий. Участвовать в проектировании сценариев реагирования на инциденты. Анализировать возможности EDR/XDR/SIEM/SOAR-решений и готовить предложения по развитию продукта. Участвовать в постановке задач для аналитиков, разработчиков и тестировщиков. Проверять реализованный функционал с точки зрения практической применимости для специалистов по ИБ. Подготавливать тестовые сценарии и экспертные заключения по новым функциям продукта. Участвовать в формировании пользовательской и технической документации. Эксплуатация и настройка СВР EDR: Администрировать и сопровождать внутреннюю инсталляцию СВР EDR. Настраивать политики контроля, правила обнаружения, исключения и сценарии реагирования. Контролировать качество собираемой телеметрии и выявлять пробелы в видимости на конечных устройствах. Анализировать срабатывания системы, расследовать ложноположительные и ложноотрицательные события. Подготавливать предложения по улучшению правил детектирования и механизмов реагирования. Вести базу внутренних кейсов, инцидентов, тестовых сценариев и предложений по развитию продукта. SOC-аналитика и мониторинг угроз: Анализировать события информационной безопасности на конечных устройствах. Расследовать подозрительную активность в Windows и Linux. Разрабатывать и актуализировать правила обнаружения на основе известных техник атак. Использовать MITRE ATT&CK для классификации техник и сценариев атак. Анализировать индикаторы компрометации (IoC) и поведенческие признаки атак. Отслеживать актуальные киберугрозы, вредоносные кампании и TTP злоумышленников. Формировать предложения по обнаружению и контролю актуальных угроз средствами СВР EDR. Мы ожидаем Обязательный опыт: Опыт работы в области информационной безопасности от 3 лет. Практический опыт работы с SOC, SIEM, EDR, антивирусными решениями или средствами мониторинга и реагирования на инциденты. Понимание принципов работы EDR-систем: сбор телеметрии, анализ событий, детектирование, реагирование и расследование инцидентов. Опыт анализа событий безопасности в Windows и/или Linux. Понимание современных техник атак на конечные устройства, включая persistence, privilege escalation, credential access, lateral movement и command & control. Умение анализировать процессы, командные строки, сетевые соединения, файловые операции, службы и системные события. Опыт подготовки требований, пользовательских сценариев или технических задач для ИБ-систем. Необходимые знания: Классы решений ИБ: EDR, XDR, SIEM, SOAR, AV/NGAV, DLP, VM, IDS/IPS, межсетевые экраны. Windows и Linux с точки зрения информационной безопасности. Подходы к расследованию инцидентов на конечных устройствах. MITRE ATT&CK, IoC, IoA и TTP. Основы сетевого взаимодействия: TCP/IP, DNS, HTTP/HTTPS, TLS, VPN и прокси. Подходы к разработке и сопровождению правил обнаружения. Работа с ложноположительными срабатываниями, исключениями и подавлением событий. Основы безопасной разработки и проектирования защищённых систем. Современный ландшафт угроз информационной безопасности. Будет плюсом: Опыт работы аналитиком SOC уровня L2/L3. Опыт внедрения, эксплуатации или разработки EDR/XDR-решений. Опыт threat hunting. Опыт разработки пользовательских правил обнаружения. Опыт работы с Sigma, YARA, Suricata/Snort, Falco, STIX/TAXII. Опыт анализа Windows Event Log, Sysmon, Linux auditd, journald и аналогичной телеметрии. Базовые навыки malware analysis или reverse engineering. Опыт работы с MITRE ATT&CK, Atomic Red Team, Caldera, Prelude Operator и аналогичными инструментами. Опыт подготовки требований к продуктам информационной безопасности. Опыт работы на стороне вендора ИБ или интегратора. Понимание требований ФСТЭК, ФСБ, 187-ФЗ и 152-ФЗ. Профильное образование в области информационной безопасности. Личные качества: Аналитическое мышление и системный подход. Внимательность к деталям. Способность разбираться в сложных технических сценариях. Умение переводить практические задачи информационной безопасности в требования к продукту. Умение аргументированно предлагать улучшения и участвовать в развитии продукта. Готовность работать на стыке ИБ, разработки, аналитики и эксплуатации. Что предлагаем: Формат работы: офис / удалёнка / гибрид (на выбор); Оформление: ТК РФ, стабильная “белая” модель; Соцпакет: ДМС, доплата больничных до 100% (до 28 дней/год), 3 day-off, мобильная связь, техника; Обучение: внешние курсы/конференции, развитие инженерных компетенций; Годовые бонусы до 6 окладов; Возможность участия в госпрограммах поддержки ИТ (льготная ипотека и др.)