SOC-аналитик

Обязанности:
Мониторить события ИБ и разбирать алерты SIEM (MaxPatrol SIEM, KUMA): классифицировать инциденты, участвовать в контент-инжиниринге корреляционных правил Анализировать данные NDR/IDS (PT NAD, ViPNet IDS, Suricata) и EDR, выявлять аномалии и подозрительную активность Контролировать покрытие источников журналов событий, находить и закрывать слепые зоны мониторинга Вести полный цикл реагирования на инциденты обнаружение, анализ, локализацию, ликвидацию, восстановление и извлечение уроков; формировать и отслеживать метрики SOC (MTTD/MTTR) Работать в команде реагирования (CSIRT) уровня L2/L3, координировать владельцев сервисов и подрядчиков Проводить threat hunting регулярными циклами на основе матрицы MITRE ATT CK Enterprise Вести Threat Intelligence: работу с фидами, интеграцию индикаторов компрометации в средства защиты и мониторинга, обмен индикаторами с НКЦКИ Поддерживать каталог плейбуков и runbooks для приоритетных сценариев (шифровальщики, фишинг, компрометация привилегированных учётных записей, DDoS, атаки на веб-ресурсы, инсайдер) и автоматизировать реагирование средствами SOAR Взаимодействовать с ГосСОПКА и НКЦКИ по компьютерным инцидентам; обеспечивать готовность к категорированию и учёту объектов КИИ Участвовать в цифровой криминалистике (DFIR): сбор и фиксация доказательств, анализ артефактов оперативной памяти и дисков, восстановление цепочки атаки Участвовать в управлении уязвимостями: сканирование (MaxPatrol VM, RedCheck), риск-ориентированный backlog, контроль SLA по устранению, приоритизация по CVSS/EPSS/SSVC и построение моделей угроз на базе MITRE ATT CK Поддерживать реестр информационных активов, потоков и внешних зависимостей во взаимодействии с CMDB, анализировать безопасность цепочки поставок (supply chain security), участвовать в эмуляции действий атакующего (purple team) для валидации детектов

Требования:
Опыт от 3 лет в мониторинге и реагировании на инциденты ИБ, анализе эффективности средств защиты информации или управлении уязвимостями Высшее образование по направлениям Информационная безопасность, Компьютерные и информационные науки или Информатика и вычислительная техника Уверенное владение SIEM на уровне аналитика (корреляционные правила, расследование алертов) MaxPatrol SIEM, KUMA или аналоги Опыт работы с системами класса NDR/IDS и EDR, уверенный анализ сетевого трафика и журналов событий Знание матрицы MITRE ATT CK Enterprise: тактики, техники, процедуры, моделирование угроз Понимание процесса реагирования на инциденты (ГОСТ Р 59709/59710/59711-2022, NIST SP 800-61) и ключевых метрик SOC (MTTD, MTTR) Опыт работы с процессами Threat Intelligence: фиды, индикаторы компрометации Навыки управления уязвимостями и их приоритизации по CVSS/EPSS/SSVC Уверенная работа с Linux и Windows Понимание профильных требований регуляторов в сфере ИБ, порядка категорирования объектов КИИ и взаимодействия с НКЦКИ/ГосСОПКА (187-ФЗ, 152-ФЗ, 149-ФЗ) Чтение технической документации на английском (ATT CK, CVE, threat-репорты, вендорская документация) Готовность оперативно подключаться к разбору инцидентов вне обычного графика при серьёзных угрозах Будет плюсом: Опыт работы в SOC/CSIRT и участия в разборе крупных инцидентов Практический опыт цифровой криминалистики (DFIR) Отраслевые сертификаты по ИБ (например, GCIH, GCFA, OSCP или отечественные аналоги) Практический опыт с продуктами Positive Technologies и Лаборатории Касперского Опыт threat hunting и построения корреляционного контента с нуля Опыт эмуляции противника (purple team) и валидации детектов, включая навыки пентеста/Red Team Навыки автоматизации анализа (Python, работа с API SIEM/SOAR) Опыт участия в CTF-соревнованиях или программах bug bounty Знание основ supply chain security и работы с CMDB