Аналитик информационной безопасности

Обязанности:

1. Расследование и анализ
· Глубокий анализ алертов, эскалированных с L1: определение первопричины, масштаба и критичности инцидента
· Проведение углублённых расследований с использованием SIEM, EDR, анализа сетевого трафика и корреляции логов
· Верификация истинно положительных событий и их классификация по уровню риска и влиянию на бизнес
2. Реагирование на инциденты и локализация
· Координация и выполнение мер сдерживания, устранения и восстановления совместно с ИТ-командами
· Следование процедурам реагированияt при кризисных инцидентах, своевременная эскалация руководств
· Выполнение действий по сдерживанию в соответствии с playbook'ами и клиентскими соглашениями (SLA), обеспечение единообразного и соответствующего требованиям реагирования
3. Оптимизация детектирования
· Разработка, обновление и оптимизация правил и сценариев детектирования в SIEM/EDR, снижение уровня ложных срабатываний
· Выявление слепых зон детектирования, подготовка предложений по улучшению инструментов, процессов и покрытия
· Обогащение расследований данными threat intelligence, передача выводов по инцидентам в логику детектирования
4. Обнаружение скрытых угроз
· Проактивный поиск скрытых угроз и TTP атакующих на основе специальных данных и поведенческого анализа
· Анализ паттернов данных и аномалий для выявления действий атакующих и внутренних угроз
5. Наставничество и взаимодействие
· Выполнение роли точки технической эскалации для аналитиков L1, предоставление экспертной поддержки в ходе реагирования
· Наставничество младших аналитиков, участие в программах обучения и передаче смен
· Взаимодействие с командой threat intelligence для обогащения контекста расследований
6. Документирование и постоянное улучшение
· Создание и дополнение таймлайнов инцидентов, доказательной базы и подробной документации
· Подготовка отчётов об инцидентах и ежедневных сводок по смене, отчётность перед руководством
· Участие в учениях по реагированию на инциденты, тренировках и пост-инцидентных разборах

Требования:

Высшее образование:

SIEM и инструменты:

· Уверенное владение SIEM: поиск событий, запросы, корреляция, анализ цепочек
· Практический опыт с MaxPatrol SIEM или KUMA SIEM
· Знание EDR/XDR, NDR, SOAR, TIP, IDS/WAF/NGFW/AV

Технические знания:
· Windows/Linux на уровне администратора, глубокое понимание Windows Event Log, sysmon, syslog, auditd
· Сети: TCP/IP, OSI, DNS, HTTP/S, SMB, RDP, SSH; анализ трафика (Wireshark, tcpdump)
· Active Directory: учётные записи, группы, Kerberos/NTLM, cобытия аутентификации
· Умение анализировать события аутентификации, сетевые соединения, процессы и действия учётных записей
· Понимание IoC, TTP, критериев ложных и истинных срабатываний

Процессы и фреймворки:
· Понимание полного цикла SOC: детектирование → триаж → расследование → реагирование → разбор
· Уверенное знание MITRE ATT&CK, Cyber Kill Chain; работа с IoC, TTP, false/true positive
· Навык оценки характера инцидента, проверки учётных записей и хостов, выполнения мер сдерживания

Условия:

• Работа в молодой аккредитованной IT-компании с численностью более 2000 человек;
• Социальный пакет, включая медицинское обслуживание (ДМС), в медицинских учреждениях ООО "РЖД";
• Компенсация проезда;
• Корпоративная мобильная связь.