Обязанности:

  • Формировать и развивать программу проактивного выявления угроз и Threat Hunting: методологию, приоритеты исследований, hunting backlog и критерии оценки результатов.
  • Организовывать поиск ранее не выявленной активности атакующих с использованием intelligence-driven, hypothesis-driven, TTP/behavior-based, IOC-driven и data-driven подходов.
  • Определять приоритеты Threat Hunting с учётом ландшафта угроз, критичных активов и бизнес-процессов, Threat Intelligence, результатов расследований и Red/Purple Team, а также пробелов мониторинга.
  • Организовывать исследование и адаптацию TTP атакующих к инфраструктуре компании с использованием MITRE ATT&CK и других отраслевых моделей.
  • Организовывать жизненный цикл IOC: сбор, обогащение, верификацию, оценку релевантности и достоверности, актуализацию, контекстуализацию и применение в hunting- и detection-процессах.
  • Выявлять пробелы в телеметрии и обнаружении угроз, формировать требования к источникам событий, мониторингу и Detection Engineering.
  • Преобразовывать результаты Threat Hunting в механизмы защиты: сценарии детектирования и реагирования, требования к мониторингу, рекомендации по hardening и последующие исследования.
  • Готовить аналитическую и форсайт-отчётность о ландшафте угроз, группах атакующих, кампаниях, изменении TTP, новых векторах атак и вероятных сценариях развития угроз.
  • Обеспечивать качество аналитических материалов, оценивать достоверность источников и фиксировать допущения, ограничения, уверенность выводов и альтернативные сценарии.
  • Взаимодействовать с командами мониторинга и реагирования, Detection Engineering, DFIR, Threat Intelligence, Vulnerability Management, AppSec, Red/Purple Team и владельцами информационных систем.
  • Проверять сложные исследования и hunting-кейсы, развивать базу знаний, методологию и компетенции сотрудников.

Требования:

  • Опыт в Threat Hunting, Threat Intelligence, DFIR, Detection Engineering или SOC; желательно от 5 лет, включая техническое лидерство.
  • Глубокое знание современных тактик, техник и процедур атак и MITRE ATT&CK Enterprise.
  • Знание методологий Threat Hunting и процессов Cyber Threat Intelligence, анализа атакующих, кампаний и инфраструктуры.
  • Понимание оценки достоверности источников, аналитической уверенности, неопределённости и альтернативных гипотез.
  • Глубокое понимание корпоративной ИТ-инфраструктуры, Windows/Linux, сетей, Identity/AD, облачных и SaaS-сервисов.
  • Практическое понимание SIEM, EDR/XDR, NDR, сетевого мониторинга и источников security-телеметрии.
  • Опыт построения и анализа поисковых запросов по большим объёмам security-событий и проведения ретроспективных исследований.
  • Понимание Detection Engineering и преобразования результатов исследований в устойчивые механизмы детектирования; знание STIX/TAXII.
  • Навыки автоматизации анализа данных, предпочтительно на Python и/или PowerShell/Bash.
  • Навыки подготовки технических, аналитических и управленческих материалов, организации работы экспертной команды и взаимодействия с техническими и бизнес-подразделениями.

Условия: удалённая работа. Опыт: 3–6 лет.