Инженер информационной безопасности по реагированию и расследованию компьютерных инцидентов

• Мониторинг и анализ событий, поступающих от источников SIEM, средств Threat Intelligence;
• Выявлять скрытые угрозы и следы компрометации в инфраструктуре с помощью Kaspersky EDR и других инструментов.
• Анализировать потоки телеметрии, проектировать сложные регулярные выражения и создавать кастомные правила детектирования под актуальные техники.
• Оперативно автоматизировать реагирование на инциденты, минимизируя количество ложноположительных срабатываний и изолируя угрозы до нанесения ущерба.
• Организация реагирования, в т.ч. верификация.
• Сбор триажа и расследование (при необходимости проверки гипотезы или подтвержденном инциденте).
• Документирование (краткий отчет для SOC по каждому зарегистрированному инциденту в веб-форме; документ - отчёт в случае проведения расследования;
• Выработка и контроль исполнения корректирующих мер.
• Организация работы по актуализации правил корреляции в SIEM, SOC, сценариев реагирования.

• Опыт работы в ИБ на аналогичной или релевантных позициях (аналитик ИБ, аналитик SOC, инженер мониторинга ИБ, пентестер, специалист по компьютерной криминалистике, специалист по расследованию инцидентов).
• Понимание моделей, методологий и фреймворков, которые задают общепринятые стандарты в области управления инцидентами: Kill Chain, MITRE ATT&CK и т.д.
• Знание операционных систем GNU/Linux, Windows; средств виртуализации и контейнеризации; прикладного ПО: веб-серверы, СУБД - в части сбора и анализа событий и артефактов.
• Знание сетевых технологий, умение собирать и анализировать дампы трафика, владение инструментами: tcpdump, wireshark.

  Опыт работы c системами класса:

• SIEM (MaxPatrol),
• NTA (PT NAD),
• EPP и EDR (средства защиты конечных точек, Kaspersky Security),
• IAM (AD, FreeIPA),

в контексте сбора и анализа событий.

• Опыт работы с инструментами сбора и анализа триажа: FTK Imager, Volatility, Zimmerman’s Tools и т.д.
• Опыт работы в организационных структурах ИБ с выделенным SOC (подразделение в штате или поставщик услуг).
• Способность конструктивно взаимодействовать с людьми (пользователи, администраторы, подрядчики): проведение опросов (очно и с помощью средств коммуникации), получение письменных объяснений.
• Навыки подготовки отчётов о расследовании и реагировании по шаблонам NIST, ФСТЭК.
• Готовность соблюдать процессную дисциплину - оформление и согласование отчётов, сохранение и систематизация артефактов, для обеспечения прозрачности и аудитопригодности процессов IR.