Инженер-исследователь по разведке угроз

О компании SecurityScorecard:

SecurityScorecard является мировым лидером в области рейтингов кибербезопасности, с более чем 12 миллионами компаний, которые постоянно оцениваются, работающих в 64 странах. Основанная в 2013 году экспертами по безопасности и рискам доктором Алексом Ямпольским и Сэмом Кассумехом и финансируемая инвесторами мирового класса, запатентованная технология рейтингов SecurityScorecard используется более чем 25 000 организациями для самоконтроля, управления рисками третьих сторон, отчетности перед советом директоров и андеррайтинга киберстрахования; делая все организации более устойчивыми, позволяя им легко находить и устранять риски кибербезопасности по всему их цифровому следу. 

Штаб-квартира находится в Нью-Йорке, наша культура была признана журналом Inc как «Лучшее место работы», журналом Crain’s NY как «Лучшие места для работы в Нью-Йорке», а также как один из 10 самых горячих SaaS-стартапов в Нью-Йорке два года подряд. Недавно SecurityScorecard была включена в ежегодный список Fast Company Самых инновационных компаний мира 2023 года и в список Achievers 50 Most Engaged Workplaces 2023, признающий «прогрессивных работодателей за их непоколебимую приверженность вовлеченности сотрудников». SecurityScorecard гордится тем, что финансируется инвесторами мирового класса, включая Silver Lake Waterman, Moody’s, Sequoia Capital, GV и Riverwood Capital.

О роли: 

Вы присоединитесь к STRIKE, команде Threat Intelligence SecurityScorecard, в качестве инженерного партнера для исследований. STRIKE ведет несколько исследовательских направлений параллельно, каждое со своим собственным графиком: быстрый отклик на активные события, более длительная работа, связанная с продуктом, и исследования, основанные на стандартах, с квартальным циклом. Путь от находки до выпущенного обнаружения или фида каждый раз переосмысливается заново. Вот проблему, которую эта роль призвана решить.

Вы будете работать напрямую с старшим техническим руководителем, отвечающим за направление R&D STRIKE, и подчиняться руководителю Threat Research по вопросам управления персоналом. Техническое направление исходит от руководства R&D; вы отвечаете за доставку. Вы возьмете исследовательский артефакт (обнаружение вредоносного ПО, кластер инфраструктуры, новый класс индикаторов, поведенческий паттерн) и превратите его в нечто, что компания сможет использовать без второго этапа инженерной доработки: схемы, хуки конвейера, распределительные фиды, правила обнаружения или API платформы.

Это не чисто исследовательская роль и не чисто платформа. Исследователи генерируют идеи, вы их реализуете.

Основные обязанности: 

Конвейер от исследований к производству

• Отвечать за путь от результатов исследований до готового к производству артефакта: правило обнаружения, распределенный фид, вход для оценки или оповещение клиента. Сотрудничать с смежными командами для определения четких контрактов передачи, чтобы новые сигналы поступали вниз по цепочке с уже определенной схемой, формированием значения и паттерном потребления.

Инженерия платформы Threat Intelligence

• Создавать и поддерживать компоненты платформы STRIKE в нескольких сервисах и средах выполнения, включая серверы распределения, оркестрацию песочницы, прием OSINT, конечные точки федеративного обмена, среды выполнения агентов и движки правил, работающие на основе предикатов, закрепленных стандартами. Расширять эти системы, не нарушая уже действующие контракты данных.

Создание контента обнаружения и сигналов

• Преобразовывать исследования в выпущенный контент обнаружения: шаблоны YARA, Sigma, STIX, поведенческие индикаторы и конвейеры, которые их распространяют. Создавать конвейеры корреляции, связывающие данные сканирования, сигналы поверхности атаки, данные уязвимостей и отслеживание противников в клиентскую разведку.

Модель данных и принятие стандартов

• Продвигать принятие STIX 2.1 как единой схемы вывода и TAXII 2.1 как стандарта распределения. Определять и управлять схемами, которые выдерживают нагрузку при передаче в нижестоящие команды.

Инженерия рабочего процесса исследований

• Создавать автоматизацию, которая устраняет рутинные задачи из исследовательской работы: обогащение индикаторов, составление отчетов, корреляция корпуса, нормализация фидов и триаж песочницы. Помогать команде переходить от рабочих процессов, управляемых аналитиками с поддержкой моделей, к рабочим процессам, управляемым моделями с обзором аналитиков.
• Самая важная работа здесь часто неприметна: извлечение данных, основанное на собственном корпусе команды, чтобы результаты ссылались на источники, а не на априорные данные модели; вывод, ограниченный схемой, чтобы сгенерированный индикатор был валидным; и механизмы оценки, которые ловят регрессии до того, как это делают аналитики. Учет затрат, бюджетирование задержек, версионирование запросов и логирование вывода завершают инфраструктуру, делающую рабочий процесс безопасным для автономного запуска.
• Вы должны четко понимать, когда модель — не подходящий инструмент. Регулярное выражение лучше модели для известных паттернов; SQL-запрос лучше модели для структурированных данных. Знание этой границы и уважение к ней — часть работы.

Межфункциональная доставка

• Координировать работу с инженерными, измерительными и продуктовыми командами платформы, чтобы исследования действительно попадали в продукт. Вы часто будете выступать в роли инженерного голоса, переводящего между исследователями, менеджерами продуктов и инженерами платформы, а иногда объяснять работу клиентам, журналистам или руководству.

Требования

Образование: Степень бакалавра или магистра в области компьютерных наук, кибербезопасности или смежной технической области. Самоучки с сильными публичными работами также приветствуются.

Опыт: 5–8 лет практического инженерного опыта с значительным знакомством с threat intelligence, исследованием безопасности или инженерией обнаружения. Обязателен предыдущий опыт создания производственных систем, которые потребляют или генерируют данные threat intelligence.

Технические навыки:

• Python и TypeScript/Node на уровне производства
• Реляционные и кеширующие хранилища данных, а также как минимум одна платформа потоковой или пакетной обработки данных
• Облачная инфраструктура (предпочтительно AWS), контейнеры и CI/CD конвейеры
• Рабочие знания STIX 2.1, TAXII 2.1, MISP и MITRE ATT&CK, а также понимание их совместной работы на практике

Инструменты обнаружения и исследований: Практический опыт работы с YARA, Sigma и STIX Patterning. Уверенное чтение результатов анализа вредоносного ПО, разбор данных инфраструктуры противника и написание логики обнаружения, выдерживающей нагрузку в производстве.

Прикладные языковые модели: Вы запускали производственные системы, использующие языковые модели, а не только демо. Это включает извлечение по реальному корпусу, структурированный вывод с проверкой схемы, механизмы оценки, ловящие регрессии до пользователей, и глубокое понимание, где модели ошибаются: актуальность, редкие факты, числовые рассуждения и враждебный ввод или инъекции запросов. Вы умеете считать стоимость задачи для своих нагрузок и можете аргументировать, когда меньшая, строго ограниченная модель лучше большой.

Вы по умолчанию относитесь к выводу модели с здоровым скептицизмом. Планка для выпуска индикатора или обнаружения, сгенерированного моделью, выше, чем для регулярного выражения, и вы понимаете почему и проектируете соответственно.

Менталитет моста: Вы пишете код, который выпускается, и понимаете, почему исследователи думают так, как они думают. Если вы всегда работали только с бэклогом, переданным менеджером продукта, это, вероятно, не ваш вариант. Если вы брали идею, набросанную в чате, и превращали ее в развернутый конвейер до начала следующего спринта, это тот режим, который нам нужен.

Плюсы:

• Опыт работы с policy-as-code или движками языков выражений (CEL, OPA или подобными)
• Публикации или соавторство в области исследований безопасности (кампании, уязвимости, отслеживание противников)
• Опыт работы с телеметрией в крупном масштабе (Splunk, Kinesis, NetFlow или эквивалент)
• Участие или поддержка проектов с открытым исходным кодом в области threat intelligence (MISP, OpenCTI, Sigma, STIX, ATT&CK)
• Знакомство с количественными рамками оценки рисков, такими как FAIR
• Знание Golang на уровне производства

Преимущества:

В зависимости от страны мы предлагаем конкурентоспособную зарплату, опционы на акции, медицинское страхование, неограниченный оплачиваемый отпуск, декретный отпуск, возмещение обучения и многое другое!

Оценочный общий диапазон компенсации для этой позиции составляет от 127 500 до 162 500 канадских долларов (базовая зарплата плюс бонус). Фактическая компенсация зависит от множества факторов, включая, но не ограничиваясь, финансовыми возможностями, навыками, квалификацией и опытом, и может отличаться от указанного диапазона. Помимо базовой зарплаты, сотрудники могут иметь право на ежегодные премии за результаты работы и акции, а также другие корпоративные льготы. 

SecurityScorecard привержена равным возможностям трудоустройства и поддерживает разнообразие. Мы считаем, что наша команда становится сильнее благодаря найму и удержанию сотрудников с разным опытом, навыками, идеями и взглядами. Мы принимаем решения о найме на основе заслуг и не допускаем дискриминации по признаку расы, цвета кожи, религии, национального происхождения, пола или гендера (включая беременность), гендерной идентичности или выражения (включая трансгендерный статус), сексуальной ориентации, возраста, семейного положения, статуса ветерана, инвалидности или любой другой защищенной категории в соответствии с применимым законодательством. 

Мы также рассматриваем квалифицированных кандидатов независимо от криминального прошлого в соответствии с применимым законодательством. Мы обязуемся предоставлять разумные приспособления для квалифицированных лиц с инвалидностью в наших процедурах подачи заявок на работу. Если вам нужна помощь или приспособление из-за инвалидности, пожалуйста, свяжитесь с talentacquisitionoperations@securityscorecard.io.

Любая информация, которую вы предоставляете SecurityScorecard в рамках вашей заявки, будет обрабатываться в соответствии с политикой конфиденциальности компании и применимым законодательством. 

SecurityScorecard не принимает непрошеные резюме от кадровых агентств.  Обратите внимание, что мы не предоставляем спонсорство по иммиграции для этой позиции.   #LI-DNI