Аналитик SOC L3

Что за роль

Аналитик SOC L3 отвечает за подключение источников событий и развитие правил обнаружения в SIEM с учетом особенностей инфраструктуры. В работе сочетаются настройка обработки телеметрии, расследование инцидентов информационной безопасности и автоматизация процессов SIEM и SOAR.

Что предстоит делать

• Подключать источники событий к SIEM и документировать интеграции, конфигурации и инструкции по настройке систем.
• Разрабатывать и дорабатывать правила нормализации и фильтрации телеметрии.
• Внедрять механизмы обнаружения и дорабатывать правила корреляции, учитывая инфраструктуру и снижая количество ложноположительных событий.
• Создавать и вести базу исключений для правил корреляции.
• Расследовать инциденты информационной безопасности, своевременно эскалировать их и разрабатывать рекомендации по предотвращению повторных случаев.
• Автоматизировать внутренние процессы работы SIEM и SOAR.
• Анализировать журналы событий средств защиты информации, операционных систем, сетевого оборудования и СУБД.

Что потребуется

• Опыт работы в SOC, расследования инцидентов ИБ и создания или доработки правил корреляции.
• Углубленные знания SIEM-систем, в том числе PT SIEM или ELK, и опыт работы с СЗИ: SIEM, NGFW, IDS/IPS, антивирусными решениями.
• Понимание Windows и Linux, основных векторов атак на операционные системы, сети, веб-приложения и API.
• Знание Cyber Kill Chain, MITRE ATT&CK, тактик, техник и типов атакующих.
• Понимание модели OSI, стека TCP/IP и протоколов HTTP/HTTPS, DNS, DHCP и ARP.
• Базовые навыки написания скриптов на Bash, PowerShell или Python; умение работать с Git и GitLab.
• Знание OWASP и практический опыт анализа журналов систем и инфраструктуры.

Что важно знать

Это техническая позиция с фокусом на обнаружении угроз и качестве обработки событий: важно не только расследовать инциденты, но и улучшать правила, интеграции и автоматизацию SOC. Уровень оплаты обсуждается с кандидатом; конкретная сумма в описании не указана.