Эксперт (SOC/контент/парсеры)

Задачи:

• Выявление и углубленный анализ инцидентов информационной безопасности, а также разработка и развитие контента мониторинга SIEM.

Ожидаемый результат: качественное выявление атак и подозрительной активности, своевременный разбор и эскалация инцидентов, актуальные правила корреляции и парсеры, снижение количества ложных срабатываний и повышение эффективности мониторинга SOC.

• Анализ и расследование событий и инцидентов ИБ, эскалированных с L1.
• Определение характера, критичности, масштаба и возможного вектора атаки.
• Анализ событий SIEM, EDR/XDR, сетевых средств защиты, ОС, Active Directory и других источников.
• Разработка, тестирование и сопровождение правил корреляции и сценариев выявления атак в SIEM.
• Разработка и доработка парсеров/нормализаторов событий для подключаемых источников.
• Анализ качества поступающих событий и корректности их нормализации.
• Тюнинг правил корреляции, фильтров и исключений, снижение false positive.
• Разработка новых сценариев мониторинга на основе актуальных техник атак и MITRE ATT&CK.
• Проведение ретроспективного поиска событий и активности, связанной с выявленным инцидентом.
• Формирование рекомендаций по реагированию и передача сложных/критических инцидентов в CSIRT/L3.
• Разработка и актуализация инструкций, playbook и базы знаний SOC.
• Взаимодействие с командами эксплуатации SIEM/SOAR при подключении источников и устранении проблем с событиями.

• Высшее образование в области ИБ
• Опыт работы от 2 лет в информационной безопасности, желательно от года в SOC L2 / разработке SIEM-контента.
• Опыт работы в ролях SOC Analyst L2, SIEM Content Developer, Detection Engineer, Security Monitoring Analyst, специалист по разработке правил корреляции, либо сильный SOC Analyst L1 с практическим опытом самостоятельной разработки правил корреляции, парсеров и расследования инцидентов.

• Опыт работы с MaxPatrol SIEM, Kaspersky KUMA и другими SIEM российского рынка.
• Практический опыт работы аналитиком SOC L2 или на сопоставимой позиции.
• Уверенная работа с SIEM и практический опыт анализа событий и расследования инцидентов.
• Практический опыт разработки и настройки правил корреляции / detection rules.
• Практический опыт разработки или доработки парсеров и нормализации событий в SIEM.
• Понимание архитектуры SIEM: источники, коллекторы, парсинг, нормализация, корреляция, хранение и поиск событий.
• Хорошее знание Windows/Linux и событий безопасности операционных систем.
• Знание Active Directory и понимание основных техник атак на доменную инфраструктуру.
• Хорошее понимание TCP/IP, DNS, HTTP/HTTPS, VPN, Proxy и основных сетевых протоколов.
• Практический опыт анализа событий NGFW, WAF, IDS/IPS, EDR/XDR, антивирусных решений и других средств защиты.
• Знание основных тактик и техник атак и практическое понимание MITRE ATT&CK.
• Умение анализировать цепочку событий, определять false positive / true positive и оценивать критичность инцидента.
• Навыки написания запросов и поиска событий в SIEM.
• Опыт разработки сложных корреляционных правил и многоэтапных сценариев детектирования.
• Знание Sigma и опыт адаптации Sigma rules под конкретную SIEM.
• Опыт Detection Engineering и построения покрытия MITRE ATT&CK.
• Практический опыт Threat Hunting.
• Опыт работы с EDR/XDR/NDR и Threat Intelligence.
• Навыки Python / PowerShell / Bash для автоматизации задач SOC.
• Опыт работы с REST API и интеграциями SIEM/SOAR.
• Опыт разработки автоматизированных сценариев реагирования в SOAR.
• Сильное аналитическое и техническое мышление.
• Внимание к деталям и способность находить взаимосвязи между событиями.
• Исследовательский подход при разборе нестандартной активности.
• Самостоятельность и ответственность.
• Способность работать с большим объемом событий и правильно расставлять приоритеты.
• Ориентация на улучшение качества детектирования, а не только обработку текущих срабатываний.

Будет существенным преимуществом:

• Опыт самостоятельной разработки SIEM-контента, а не только обработки готовых алертов.
• Опыт создания сценариев мониторинга под конкретные техники и векторы атак.
• Опыт участия в развитии Use Case Framework / Detection Coverage будет преимуществом.
• Опыт работы с большим количеством разнородных источников событий.
• Профильные курсы или сертификации по SIEM, SOC, Incident Response или Detection Engineering будут преимуществом.

• Конкурентная заработную плату, соответствующую профессиональным навыкам, готовы обсуждать с финальным кандидатом.
• Медицинское обслуживание в частной клинике по системе депозита от работодателя.
• Аккредитованная IT компания.
• Официальное трудоустройство согласно ТК РФ и социальные гарантии.
• График работы с 08 (10) до 17 (19), full time офис, после прохождения испытательного срока готовы рассмотреть комбинированный график работы. Пятница - сокращенный день.
• Заряженная и опытная команда профессионалов.
• Комфортный офис в дизайнерском бизнес-центре Neo Geo с теннисным кортом внутри и развитой инфраструктурой.
• Поддерживаем инициативы обучения и сертификации за счёт компании.