Мы — «СёрчИнформ», делаем DLP, SIEM, DCAP и ещё несколько продуктов по внутренней безопасности. У нас своя SIEM, её используют несколько сотен компаний, и мы хотим, чтобы она ловила больше и ошибалась реже.
Для этого ищем человека, который будет отвечать за детектирующий контент: правила, коннекторы, парсеры, вся экспертная начинка. Кто нам нужен. Аналитик, который давно и плотно работает с SIEM — не как оператор консоли, а как тот, кто сам пишет правила, подключает кривые источники, потом сидит и разбирается, почему правило стреляет по ночам на легитимный бэкап.
Вендор не важен: MaxPatrol, KUMA, QRadar, Splunk, Wazuh, что угодно. Важно, чтобы вы понимали, как это устроено внутри, и могли перенести опыт на нашу платформу. Работа на стыке: с одной стороны заказчики и внедренцы с их инфраструктурой и вопросами «а почему не сработало», с другой — разработчики, которым нужно объяснить, чего не хватает в продукте.
Если вам надоело настраивать чужую систему и хочется влиять на то, как устроена своя, — приходите.
Что будете делать:
- Писать и дорабатывать правила корреляции, детекты, отчёты и дашборды.
- Подключать источники: Windows Event Log, Linux, AD, VPN, почтовые серверы, сетевое оборудование, базы данных, антивирусы, наша же DLP. Когда готового коннектора нет — разбирать формат и писать парсер с нуля.
- Ездить (или ходить по видеосвязи) на внедрения и пилоты: смотреть инфраструктуру заказчика, настраивать, тюнить правила, гасить ложные срабатывания. Быть последней инстанцией для поддержки, когда вопрос по детектам или источникам никто уже не может разобрать.
- Ставить задачи разработке: какие коннекторы нужны, чего не хватает в движке корреляции, что мешает на внедрениях.
- Писать документацию и базу знаний по детектам.
- Учить наших инженеров и партнёров.
- Следить за тем, что происходит в мире атак (MITRE ATT&CK, отчёты CERT, публичные разборы инцидентов) и превращать это в правила.
Что нужно:
- От 5 лет работы с SIEM. Именно работы руками: контент, источники, администрирование, внедрение.
- Опыт, когда вы сами довели детект от идеи до рабочего правила с вменяемым количеством ложных срабатываний. Не одно правило, а много.
- Опыт подключения источника, для которого не было ничего готового.
- Хорошее знание логов Windows (Event ID, Sysmon, аудит AD, PowerShell) и Linux (syslog, auditd, журналы сервисов).
- Понимание сетей на уровне «вижу в логах, что тут не так»: TCP/IP, DNS, HTTP, VPN, NetFlow. Регулярные выражения — свободно. Скрипты на Python, PowerShell или Bash — уверенно. SQL на рабочем уровне.
- Плюс понимание, что бывает с базой, когда в неё летит много событий.
- Знание техник атак и их следов в логах, работа с MITRE ATT&CK на практике.
- Опыт общения с заказчиками: собрать требования, отстоять решение, разобрать конфликт.
- Умение объяснять сложное простыми словами — и заказчику, и разработчику, и в документации.
Будет плюсом:
- SOC L3, threat hunting, руководство сменой или отделом.
- Работа на стороне вендора SIEM или интегратора.
- Sigma-правила и их конвертация под разные платформы.
- Знание требований ФСТЭК, 187-ФЗ, ГосСОПКА по мониторингу событий.
- Понимание того, как атакуют: основы пентеста, участие в red team.
- Опыт наставничества, выступлений на конференциях.
- Английский на уровне чтения документации.
