Аналитик СИЕМ/ SIEM — SearchInform

Мы — «СёрчИнформ», делаем DLP, SIEM, DCAP и ещё несколько продуктов по внутренней безопасности. У нас своя SIEM, её используют несколько сотен компаний, и мы хотим, чтобы она ловила больше и ошибалась реже.

Для этого ищем человека, который будет отвечать за детектирующий контент: правила, коннекторы, парсеры, вся экспертная начинка. Кто нам нужен. Аналитик, который давно и плотно работает с SIEM — не как оператор консоли, а как тот, кто сам пишет правила, подключает кривые источники, потом сидит и разбирается, почему правило стреляет по ночам на легитимный бэкап.

Вендор не важен: MaxPatrol, KUMA, QRadar, Splunk, Wazuh, что угодно. Важно, чтобы вы понимали, как это устроено внутри, и могли перенести опыт на нашу платформу. Работа на стыке: с одной стороны заказчики и внедренцы с их инфраструктурой и вопросами «а почему не сработало», с другой — разработчики, которым нужно объяснить, чего не хватает в продукте.

Если вам надоело настраивать чужую систему и хочется влиять на то, как устроена своя, — приходите.

Что будете делать:

• Писать и дорабатывать правила корреляции, детекты, отчёты и дашборды.
• Подключать источники: Windows Event Log, Linux, AD, VPN, почтовые серверы, сетевое оборудование, базы данных, антивирусы, наша же DLP. Когда готового коннектора нет — разбирать формат и писать парсер с нуля.
• Ездить (или ходить по видеосвязи) на внедрения и пилоты: смотреть инфраструктуру заказчика, настраивать, тюнить правила, гасить ложные срабатывания. Быть последней инстанцией для поддержки, когда вопрос по детектам или источникам никто уже не может разобрать.
• Ставить задачи разработке: какие коннекторы нужны, чего не хватает в движке корреляции, что мешает на внедрениях.
• Писать документацию и базу знаний по детектам.
• Учить наших инженеров и партнёров.
• Следить за тем, что происходит в мире атак (MITRE ATT&CK, отчёты CERT, публичные разборы инцидентов) и превращать это в правила.

Что нужно:

• От 5 лет работы с SIEM. Именно работы руками: контент, источники, администрирование, внедрение.
• Опыт, когда вы сами довели детект от идеи до рабочего правила с вменяемым количеством ложных срабатываний. Не одно правило, а много.
• Опыт подключения источника, для которого не было ничего готового.
• Хорошее знание логов Windows (Event ID, Sysmon, аудит AD, PowerShell) и Linux (syslog, auditd, журналы сервисов).
• Понимание сетей на уровне «вижу в логах, что тут не так»: TCP/IP, DNS, HTTP, VPN, NetFlow. Регулярные выражения — свободно. Скрипты на Python, PowerShell или Bash — уверенно. SQL на рабочем уровне.
• Плюс понимание, что бывает с базой, когда в неё летит много событий.
• Знание техник атак и их следов в логах, работа с MITRE ATT&CK на практике.
• Опыт общения с заказчиками: собрать требования, отстоять решение, разобрать конфликт.
• Умение объяснять сложное простыми словами — и заказчику, и разработчику, и в документации.

Будет плюсом:

• SOC L3, threat hunting, руководство сменой или отделом.
• Работа на стороне вендора SIEM или интегратора.
• Sigma-правила и их конвертация под разные платформы.
• Знание требований ФСТЭК, 187-ФЗ, ГосСОПКА по мониторингу событий.
• Понимание того, как атакуют: основы пентеста, участие в red team.
• Опыт наставничества, выступлений на конференциях.
• Английский на уровне чтения документации.