Обязанности:
1. Расследование и анализ· Глубокий анализ алертов, эскалированных с L1: определение первопричины, масштаба и критичности инцидента· Проведение углублённых расследований с использованием SIEM, EDR, анализа сетевого трафика и корреляции логов· Верификация истинно положительных событий и их классификация по уровню риска и влиянию на бизнес2. Реагирование на инциденты и локализация· Координация и выполнение мер сдерживания, устранения и восстановления совместно с ИТ-командами· Следование процедурам реагированияt при кризисных инцидентах, своевременная эскалация руководств· Выполнение действий по сдерживанию в соответствии с playbook'ами и клиентскими соглашениями (SLA), обеспечение единообразного и соответствующего требованиям реагирования3. Оптимизация детектирования· Разработка, обновление и оптимизация правил и сценариев детектирования в SIEM/EDR, снижение уровня ложных срабатываний· Выявление слепых зон детектирования, подготовка предложений по улучшению инструментов, процессов и покрытия· Обогащение расследований данными threat intelligence, передача выводов по инцидентам в логику детектирования4. Обнаружение скрытых угроз· Проактивный поиск скрытых угроз и TTP атакующих на основе специальных данных и поведенческого анализа· Анализ паттернов данных и аномалий для выявления действий атакующих и внутренних угроз5. Наставничество и взаимодействие· Выполнение роли точки технической эскалации для аналитиков L1, предоставление экспертной поддержки в ходе реагирования· Наставничество младших аналитиков, участие в программах обучения и передаче смен· Взаимодействие с командой threat intelligence для обогащения контекста расследований6. Документирование и постоянное улучшение· Создание и дополнение таймлайнов инцидентов, доказательной базы и подробной документации· Подготовка отчётов об инцидентах и ежедневных сводок по смене, отчётность перед руководством· Участие в учениях по реагированию на инциденты, тренировках и пост-инцидентных разборах
Требования:
Высшее образование:
SIEM и инструменты:
· Уверенное владение SIEM: поиск событий, запросы, корреляция, анализ цепочек· Практический опыт с MaxPatrol SIEM или KUMA SIEM· Знание EDR/XDR, NDR, SOAR, TIP, IDS/WAF/NGFW/AV
Технические знания:· Windows/Linux на уровне администратора, глубокое понимание Windows Event Log, sysmon, syslog, auditd· Сети: TCP/IP, OSI, DNS, HTTP/S, SMB, RDP, SSH; анализ трафика (Wireshark, tcpdump)· Active Directory: учётные записи, группы, Kerberos/NTLM, cобытия аутентификации· Умение анализировать события аутентификации, сетевые соединения, процессы и действия учётных записей· Понимание IoC, TTP, критериев ложных и истинных срабатываний
Процессы и фреймворки:· Понимание полного цикла SOC: детектирование → триаж → расследование → реагирование → разбор· Уверенное знание MITRE ATT&CK, Cyber Kill Chain; работа с IoC, TTP, false/true positive· Навык оценки характера инцидента, проверки учётных записей и хостов, выполнения мер сдерживания
Условия:
– Работа в молодой аккредитованной IT-компании с численностью более 2000 человек;
– Социальный пакет, включая медицинское обслуживание (ДМС), в медицинских учреждениях ООО "РЖД";
– Компенсация проезда;
– Корпоративная мобильная связь.