Специалист по информационной безопасности

Должностные обязанности

Мониторинг:

• Ежедневный разбор срабатываний SIEM (MaxPatrol SIEM): триаж, классификация, отсечение ложноположительных срабатываний, эскалация подтверждённых событий.

• Разработка и сопровождение правил корреляции, нормализация и подключение новых источников событий: контроллеры домена, гипервизоры Hyper-V , MS SQL Server , коммутаторы Eltex , VPN -шлюзы, антивирусный сервер.

• Контроль полноты и непрерывности сбора событий по филиалам — отдельная задача, поскольку разрыв в поставке логов равнозначен отсутствию мониторинга.

• Мониторинг событий DLP (InfoWatch Traffic Monitor), контроль политик защиты от утечек.

• Контроль устранения уязвимостей по данным сканера ( Vulnerability Management , MaxPatrol VM), приоритизация по критичности активов.

Расследование инцидентов:

• Локализация и сдерживание инцидента.

• Сбор и фиксация артефактов: журналы Windows Event Log , Sysmon , снимки памяти, образы дисков, сетевые дампы; обеспечение неизменности доказательной базы.

• Восстановление хронологии атаки, определение первоначального вектора проникновения и полноты компрометации.

• Подготовка отчёта по инциденту с разбором первопричины и планом устранения предпосылок.

• Разработка и актуализация карточек реагирования по типовым сценариям.

Обязательные требования

Опыт:

• От 2 лет в подразделении мониторинга ИБ / SOC либо в эксплуатации средств защиты с функцией разбора инцидентов.

• Практика самостоятельного расследования не менее чем по нескольким реальным инцидентам.

Технические компетенции:

• Операционные системы: глубокое понимание Windows Server и Active Directory — модель аутентификации Kerberos / NTLM , значимые идентификаторы событий (4624/4625/4672/4688/4768/4769/7045), механика делегирования и групповых политик. Базовый уровень Linux (журналирование, auditd).

• Сети: чтение сетевых дампов, понимание TCP/IP , туннелирования, DNS -эксфильтрации, признаков управляющего трафика ( C2 ).

• SIEM: практика написания правил…