Аналитик СИЕМ в информационной безопасности

Мы — «СёрчИнформ», делаем DLP, SIEM, DCAP и ещё несколько продуктов по внутренней безопасности. У нас своя SIEM, её используют несколько сотен компаний, и мы хотим, чтобы она ловила больше и ошибалась реже. Для этого ищем человека, который будет отвечать за детектирующий контент: правила, коннекторы, парсеры, вся экспертная начинка. Кто нам нужен. Аналитик, который давно и плотно работает с SIEM — не как оператор консоли, а как тот, кто сам пишет правила, подключает кривые источники, потом сидит и разбирается, почему правило стреляет по ночам на легитимный бэкап.

• Писать и дорабатывать правила корреляции, детекты, отчёты и дашборды.
• Подключать источники: Windows Event Log, Linux, AD, VPN, почтовые серверы, сетевое оборудование, базы данных, антивирусы, наша же DLP. Когда готового коннектора нет — разбирать формат и писать парсер с нуля.
• Ездить (или ходить по видеосвязи) на внедрения и пилоты: смотреть инфраструктуру заказчика, настраивать, тюнить правила, гасить ложные срабатывания. Быть последней инстанцией для поддержки, когда вопрос по детектам или источникам никто уже не может разобрать.
• Ставить задачи разработке: какие коннекторы нужны, чего не хватает в движке корреляции, что мешает на внедрениях.
• Писать документацию и базу знаний по детектам.
• Учить наших инженеров и партнёров.
• Следить за тем, что происходит в мире атак (MITRE ATT&CK, отчёты CERT, публичные разборы инцидентов) и превращать это в правила.

• От 5 лет работы с SIEM. Именно работы руками: контент, источники, администрирование, внедрение.
• Опыт, когда вы сами довели детект от идеи до рабочего правила с вменяемым количеством ложных срабатываний. Не одно правило, а много.
• Опыт подключения источника, для которого не было ничего готового.
• Хорошее знание логов Windows (Event ID, Sysmon, аудит AD, PowerShell) и Linux (syslog, auditd, журналы сервисов).
• Понимание сетей на уровне «вижу в логах, что тут не так»: TCP/IP, DNS, HTTP, VPN, NetFlow. Регулярные выражения — свободно. Скрипты на Python, PowerShell или Bash — уверенно. SQL на рабочем уровне.
• Плюс понимание, что бывает с базой, когда в неё летит много событий.
• Знание техник атак и их следов в логах, работа с MITRE ATT&CK на практике.
• Опыт общения с заказчиками: собрать требования, отстоять решение, разобрать конфликт.
• Умение объяснять сложное простыми словами — и заказчику, и разработчику, и в документации.
• Будет плюсом: SOC L3, threat hunting, руководство сменой или отделом; Работа на стороне вендора SIEM или интегратора; Sigma-правила и их конвертация под разные платформы; Знание требований ФСТЭК, 187-ФЗ, ГосСОПКА по мониторингу событий; Понимание того, как атакуют: основы пентеста, участие в red team; Опыт наставничества, выступлений на конференциях; Английский на уровне чтения документации

• Условий в вакансии нет