Обязанности:

• Проводить углубленный анализ инцидентов ИБ, эскалированных с L1.
• Подтверждать или опровергать инциденты на основе анализа логов и сетевого трафика.
• Проводить расследования, определять вектор атаки и масштаб инцидента.
• Выполнять первичное реагирование: изоляция узлов, блокировка учетных записей, ограничение доступа.
• Создавать и оптимизировать корреляционные правила и сценарии в SIEM.
• Настраивать системы мониторинга и снижать количество ложных срабатываний.
• Подготавливать отчеты по инцидентам и предлагать меры по устранению уязвимостей.
• Пополнять базу знаний SOC новыми сценариями и примерами атак.
• Взаимодействовать с L3, DFIR и Threat Intelligence по сложным инцидентам.

Требования:

• Уверенные знания Windows и Linux, навыки работы с логами и журналами безопасности.
• Понимание сетевой архитектуры и протоколов TCP/IP, DNS, HTTP/S, SMTP, SMB.
• Опыт работы с SIEM: Splunk, QRadar, ELK и другими решениями.
• Опыт разработки и настройки корреляционных правил в SIEM.
• Навыки работы с IDS/IPS, WAF, EDR, DLP, MDM и Sandbox.
• Умение анализировать сетевой трафик и артефакты атак: IOC, PCAP, Sysmon.
• Опыт расследования фишинга, malware, bruteforce и privilege escalation.
• Знание MITRE ATT&CK, Cyber Kill Chain и NIST Incident Handling.
• Навыки Python, Bash или PowerShell для автоматизации расследований.
• Английский язык для чтения технической документации и деловой переписки.

Желательные навыки:

• Опыт реверс-инжиниринга или цифровой криминалистики DFIR.
• Знание AWS, Azure, GCP, Docker и Kubernetes.
• Опыт работы с платформами Threat Intelligence.
• Наличие сертификатов CompTIA CySA+, GCIA, GCIH, ECIH, Splunk или QRadar.

• Анализ и проверка безопасности архитектуры Web-сервера;
• Настройка политики безопасности ОС, СУБД, ППО;
• Настройка системы защиты от утечек конфиденциальной информации;
• Настройка средств антивирусной защиты для корректной работы ПО по заданным шаблонам;

• Логическое рассуждение;
• Лидерство;
• Логическое мышление;

• Русский / высокий уровень