AI-помощник: сопроводительное письмо, адаптация резюме, тренировка собеседованияПерейти ↓
Описание вакансии
Аналитик SOC L2 (разработка правил корреляции, KUMA)
T.Hunter развивает SOC-as-a-Service платформу для B2B-клиентов: мониторинг, triage и обработка инцидентов ИБ в мультиклиентской среде. Используем собственный стек: Wazuh в качестве SIEM-платформы и собственную IRP/SOAR-платформу для triage, SLA-контроля, эскалаций, кейсов, IOC и playbooks.
Чем предстоит заниматься
•Разработка, тестирование и сопровождение правил корреляции в KUMA
•Тюнинг детектов: снижение false positive, доработка правил по итогам разбора инцидентов
•Углублённый анализ инцидентов, эскалированных с L1: вердикт, scope, рекомендации клиенту
•Подключение и нормализация источников событий (коллекторы, нормализаторы, парсеры)
•Маппинг покрытия детектов на MITRE ATT&CK и закрытие пробелов покрытия
•Развитие playbooks и операционных процедур, менторство аналитиков L1
Мы ожидаем
•Обязательно: практический опыт разработки и тестирования правил корреляции в KUMA. Отклики без опыта работы с KUMA не рассматриваются
•Опыт в SOC от 2 лет (L2 или L1 с опытом разработки контента детектирования)
•Понимание архитектуры KUMA: коллекторы, корреляторы, нормализация событий, активные листы и словари
•Знание MITRE ATT&CK на уровне построения детектов от техник и субтехник
•Уверенный анализ событий Windows/Linux, AD, сетевого оборудования и СЗИ
•Аккуратная документация: описание логики правил, условий срабатывания, инструкций по разбору для L1
Будет плюсом
•Опыт с Wazuh: правила, декодеры
•Знание Sigma и опыт конвертации правил в нативные форматы SIEM
•Python/SQL для аналитики и автоматизации
•Опыт работы в MSSP/SOCaaS
•Опыт с EDR/XDR, threat hunting по гипотезам
Условия
•Формат: удалённо, гибрид в офисе м. Московская, Санкт-Петербург
•График: 5/2
•Оформление по ТК РФ
•Онбординг и поддержка от L3 на старте
•Рост внутри SOC: L2 → L3 / Lead, пересмотр уровня каждые 6 месяцев
•Инструменты: собственная IRP/SOAR-платформа
•Работа в аккредитованной ИТ-компании (актуально для всех действующих владельцев IT-ипотеки)
•IT-отсрочка от срочной службы
