Аналитик СИЕМ/ SIEM

Мы — «СёрчИнформ», делаем DLP, SIEM, DCAP и ещё несколько продуктов по внутренней безопасности. У нас своя SIEM, её используют несколько сотен компаний, и мы хотим, чтобы она ловила больше и ошибалась реже.

Для этого ищем человека, который будет отвечать за детектирующий контент: правила, коннекторы, парсеры, вся экспертная начинка. Кто нам нужен. Аналитик, который давно и плотно работает с SIEM — не как оператор консоли, а как тот, кто сам пишет правила, подключает кривые источники, потом сидит и разбирается, почему правило стреляет по ночам на легитимный бэкап.

Вендор не важен: MaxPatrol, KUMA, QRadar, Splunk, Wazuh, что угодно. Важно, чтобы вы понимали, как это устроено внутри, и могли перенести опыт на нашу платформу. Работа на стыке: с одной стороны заказчики и внедренцы с их инфраструктурой и вопросами «а почему не сработало», с другой — разработчики, которым нужно объяснить, чего не хватает в продукте.

Если вам надоело настраивать чужую систему и хочется влиять на то, как устроена своя, — приходите.

Что будете делать :

• Писать и дорабатывать правила корреляции, детекты, отчёты и дашборды.

• Подключать источники: Windows Event Log, Linux, AD, VPN, почтовые серверы, сетевое оборудование, базы данных, антивирусы, наша же DLP. Когда готового коннектора нет — разбирать формат и писать парсер с нуля.

• Ездить (или ходить по видеосвязи) на внедрения и пилоты: смотреть инфраструктуру заказчика, настраивать, тюнить правила, гасить ложные срабатывания. Быть последней инстанцией для поддержки, когда вопрос по детектам или источникам никто уже не может разобрать.

• Ставить задачи разработке: какие коннекторы нужны, чего не хватает в движке корреляции, что мешает на внедрениях.

• Писать документацию и базу знаний по детектам.

• Учить наших инженеров и партнёров.

• Следить за тем, что происходит в мире атак (MITRE ATT&CK, отчёты CERT, публичные разборы инцидентов) и превращать это в правила.

Что нужно :

• От 5 лет работы с SIEM. Именно работы руками…