SOC Analyst (00:00–09:00 UTC)

О позиции

Вы будете работать в международном следящем за солнцем центре кибербезопасности (follow-the-sun SOC), обеспечивая круглосуточный мониторинг угроз для организации. Эта позиция требует не просто обработки алертов, а полноценного расследования подозрительной активности с нуля до завершения, координации с другими командами и чёткой передачи смены между регионами. Идеальный кандидат обладает сильным аналитическим мышлением, стремится понять причину каждой тревоги, а не просто закрыть тикет, и гордится качественным документированием и передачей информации следующему смене.

Чем заниматься

• Мониторинг, триаж и анализ событий безопасности из стека платформ: SIEM, EDR, SSE, WAF
• Расследование инцидентов безопасности end-to-end: от первичного триажа через анализ, сдерживание, устранение до пост-инцидентной документации
• Определение масштаба, тяжести и воздействия событий безопасности, разделение true positives и false positives
• Выполнение ответных действий: изоляция endpoint'ов, блокировка indicators, отключение скомпрометированных аккаунтов
• Обеспечение структурированных высококачественных передач смены между регионами в модели follow-the-sun
• Проактивный threat hunt по endpoint, network и log data с маппингом к фреймворку MITRE ATT&CK
• Предоставление обратной связи по качеству обнаружений и участие в тюнинге SIEM correlation rules, EDR detections
• Обогащение расследований threat intelligence: indicators of compromise, techniques attacker', emerging campaigns
• Разработка и поддержка технической документации, SOP и incident response playbooks
• Сотрудничество с IT, инфраструктурными, прикладными и security engineering командами"], "Поддержка vulnerability management и постоянное улучшение security posture организации

Что ждут

• Бакалавриат в сфере IT, Кибербезопасности, Computer Science или эквивалентный практический опыт
• Не менее 3 летhands-on опыта как SOC Analyst в production среде
• Твёрдые рабочие знания core security technologies: EDR, SSE, SIEM, WAF и их использование для расследования/реагирования
• Hands-on опыт внедрения, конфигурации, тюнинга платформ или написания/tuning detection content (будет плюсом)
• Опыт Incident Response и Threat Hunting, желательно знакомство с MITRE ATT&CK framework
• Отличное понимание Network Security, Endpoint Security, Cloud Security, Zero Trust principles
• Соответствующие сертификаты: Security+, CySA+, GCIA, GCIH, BTL1 или vendor-specific credentials (будет плюсом)
• Сильные аналитические, troubleshooting и problem-solving навыки с высоким вниманием к деталям
• Возможность ответственно обрабатывать конфиденциальную информацию
• Хорошие письменные и устные коммуникативные навыки на английском, эффективная работа across teams и time zones

Будет плюсом

• Опыт реализации, настройки и тюнинга security платформ
• Навыки написания и тюнинга detection content
• Знание MITRE ATT&CK framework
• Сертификаты Security+, CySA+, GCIA, GCIH, BTL1 или vendor-specific
• Стендап или тюнинг инструментов, которыми работаем, написание собственных detections

Условия

• Удалённая работа в международной remote-среде
• Работа в follow-the-sun глобальной Security Operations Center команде
• Возможность профессионального роста в области кибербезопасности
• Чёткие процессы передачи смены и слаженной командной работы
• Доступ к современным security stack технологиям: SIEM, EDR, SSE, WAF
• Прямая коммуникация с международными командами и техническими специалистами
• Получение ценного опыта в enterprise security environment

Навыки

• SIEM
• EDR
• SSE
• WAF
• MITRE ATT&CK
• Incident Response
• Threat Hunting
• Network Security
• Cloud Security
• Zero Trust
• Security Analytics
• Log Analysis
• Endpoint Security

Могут спросить на собеседовании

1. Расскажите о примере сложного инцидента безопасности, который вы расследовали ранее. Как вы подошли к анализу и каков был итоговый результат?
2. Как вы отличаете true positive от false positive при анализе alert? Приведите пример из практики.
3. Какие инструменты и подходы вы используете для threat hunting? Какой фреймворк применяете для маппинга findings?
4. Опишите процесс передачи смены между регионами в follow-the-sun модели. Что обязательно должно быть задокументировано?
5. Как вы подходите к tuning SIEM correlation rules для уменьшения noise при сохранении coverage?