Эксперт (SOC/контент/парсеры)
Описание
Задачи: Выявление и углубленный анализ инцидентов информационной безопасности, а также разработка и развитие контента мониторинга SIEM. Ожидаемый результат: качественное выявление атак и подозрительной активности, своевременный разбор и эскалация инцидентов, актуальные правила корреляции и парсеры, снижение количества ложных срабатываний и повышение эффективности мониторинга SOC. Анализ и расследование событий и инцидентов ИБ, эскалированных с L1. Определение характера, критичности, масштаба и возможного вектора атаки. Анализ событий SIEM, EDR/XDR, сетевых средств защиты, ОС, Active Directory и других источников. Разработка, тестирование и сопровождение правил корреляции и сценариев выявления атак в SIEM. Разработка и доработка парсеров/нормализаторов событий для подключаемых источников. Анализ качества поступающих событий и корректности их нормализации. Тюнинг правил корреляции, фильтров и исключений, снижение false positive. Разработка новых сценариев мониторинга на основе актуальных техник атак и MITRE ATT&CK. Проведение ретроспективного поиска событий и активности, связанной с выявленным инцидентом. Формирование рекомендаций по реагированию и передача сложных/критических инцидентов в CSIRT/L3. Разработка и актуализация инструкций, playbook и базы знаний SOC. Взаимодействие с командами эксплуатации SIEM/SOAR при подключении источников и устранении проблем с событиями. Требования: Высшее образование в области ИБ Опыт работы от 2 лет в информационной безопасности, желательно от года в SOC L2 / разработке SIEM-контента. Опыт работы в ролях SOC Analyst L2, SIEM Content Developer, Detection Engineer, Security Monitoring Analyst, специалист по разработке правил корреляции, либо сильный SOC Analyst L1 с практическим опытом самостоятельной разработки правил корреляции, парсеров и расследования инцидентов. Опыт работы с MaxPatrol SIEM, Kaspersky KUMA и другими SIEM российского рынка. Практический опыт работы аналитиком SOC L2 или на сопоставимой позиции. Уверенная работа с SIEM и практический опыт анализа событий и расследования инцидентов. Практический опыт разработки и настройки правил корреляции / detection rules. Практический опыт разработки или доработки парсеров и нормализации событий в SIEM. Понимание архитектуры SIEM: источники, коллекторы, парсинг, нормализация, корреляция, хранение и поиск событий. Хорошее знание Windows/Linux и событий безопасности операционных систем. Знание Active Directory и понимание основных техник атак на доменную инфраструктуру. Хорошее понимание TCP/IP, DNS, HTTP/HTTPS, VPN, Proxy и основных сетевых протоколов. Практический опыт анализа событий NGFW, WAF, IDS/IPS, EDR/XDR, антивирусных решений и других средств защиты. Знание основных тактик и техник атак и практическое понимание MITRE ATT&CK. Умение анализировать цепочку событий, определять false positive / true positive и оценивать критичность инцидента. Навыки написания запросов и поиска событий в SIEM. Опыт разработки сложных корреляционных правил и многоэтапных сценариев детектирования. Знание Sigma и опыт адаптации Sigma rules под конкретную SIEM. Опыт Detection Engineering и построения покрытия MITRE ATT&CK. Практический опыт Threat Hunting. Опыт работы с EDR/XDR/NDR и Threat Intelligence. Навыки Python / PowerShell / Bash для автоматизации задач SOC. Опыт работы с REST API и интеграциями SIEM/SOAR. Опыт разработки автоматизированных сценариев реагирования в SOAR. Сильное аналитическое и техническое мышление. Внимание к деталям и способность находить взаимосвязи между событиями. Исследовательский подход при разборе нестандартной активности. Самостоятельность и ответственность. Способность работать с большим объемом событий и правильно расставлять приоритеты. Ориентация на улучшение качества детектирования, а не только обработку текущих срабатываний. Будет существенным преимуществом: Опыт самостоятельной разработки SIEM-контента, а не только обработки готовых алертов. Опыт создания сценариев мониторинга под конкретные техники и векторы атак. Опыт участия в развитии Use Case Framework / Detection Coverage будет преимуществом. Опыт работы с большим количеством разнородных источников событий. Профильные курсы или сертификации по SIEM, SOC, Incident Response или Detection Engineering будут преимуществом. Условия: Конкурентная заработную плату, соответствующую профессиональным навыкам, готовы обсуждать с финальным кандидатом. Медицинское обслуживание в частной клинике по системе депозита от работодателя. Аккредитованная IT компания. Официальное трудоустройство согласно ТК РФ и социальные гарантии. График работы с 08 (10) до 17 (19), full time офис, после прохождения испытательного срока готовы рассмотреть комбинированный график работы. Пятница - сокращенный день. Заряженная и опытная команда профессионалов. Комфортный офис в дизайнерском бизнес-центре Neo Geo с теннисным кортом внутри и развитой инфраструктурой. Поддерживаем инициативы обучения и сертификации за счёт компании.