Эксперт (SOC/контент/парсеры)

Задачи:

• Выявление и углубленный анализ инцидентов информационной безопасности, а также разработка и развитие контента мониторинга SIEM.

Ожидаемый результат: качественное выявление атак и подозрительной активности, своевременный разбор и эскалация инцидентов, актуальные правила корреляции и парсеры, снижение количества ложных срабатываний и повышение эффективности мониторинга SOC.

• Анализ и расследование событий и инцидентов ИБ, эскалированных с L1.

• Определение характера, критичности, масштаба и возможного вектора атаки.

• Анализ событий SIEM, EDR/XDR, сетевых средств защиты, ОС, Active Directory и других источников.

• Разработка, тестирование и сопровождение правил корреляции и сценариев выявления атак в SIEM.

• Разработка и доработка парсеров/нормализаторов событий для подключаемых источников.

• Анализ качества поступающих событий и корректности их нормализации.

• Тюнинг правил корреляции, фильтров и исключений, снижение false positive.

• Разработка новых сценариев мониторинга на основе актуальных техник атак и MITRE ATT&CK.

• Проведение ретроспективного поиска событий и активности, связанной с выявленным инцидентом.

• Формирование рекомендаций по реагированию и передача сложных/критических инцидентов в CSIRT/L3.

• Разработка и актуализация инструкций, playbook и базы знаний SOC.

• Взаимодействие с командами эксплуатации SIEM/SOAR при подключении источников и устранении проблем с событиями.

Требования:

• Высшее образование в области ИБ

• Опыт работы от 2 лет в информационной безопасности, желательно от года в SOC L2 / разработке SIEM-контента.

• Опыт работы в ролях SOC Analyst L2, SIEM Content Developer, Detection Engineer, Security Monitoring Analyst, специалист по разработке правил корреляции, либо сильный SOC Analyst L1 с практическим опытом самостоятельной разработки правил корреляции, парсеров и расследования инцидентов.

• Опыт работы с MaxPatrol SIEM, Kaspersky KUMA и другими SIEM российского рынка.

• Практический опыт работы…