SOC-аналитик (мониторинг и реагирование на инциденты ИБ)

ГКУ «Ресурсы Ямала» — оператор цифровой инфраструктуры Ямало-Ненецкого автономного округа: региональный дата-центр, магистральные и защищённые сети для органов власти и государственные информационные системы, которыми ежедневно пользуются десятки ведомств и сотни тысяч жителей округа. Вы будете строить центр мониторинга и реагирования (SOC) окружного оператора КИИ: threat hunting, цифровая криминалистика (DFIR) и Threat Intelligence на реальном потоке событий целого региона. Это позиция для архитектора — вы будете формировать процессы, корреляционный контент и плейбуки под себя. Обязанности: — Мониторить события ИБ и разбирать алерты SIEM (MaxPatrol SIEM, KUMA): классифицировать инциденты, участвовать в контент-инжиниринге корреляционных правил — Анализировать данные NDR/IDS (PT NAD, ViPNet IDS, Suricata) и EDR, выявлять аномалии и подозрительную активность — Контролировать покрытие источников журналов событий, находить и закрывать слепые зоны мониторинга — Вести полный цикл реагирования на инциденты — обнаружение, анализ, локализацию, ликвидацию, восстановление и извлечение уроков; формировать и отслеживать метрики SOC (MTTD/MTTR) — Работать в команде реагирования (CSIRT) уровня L2/L3, координировать владельцев сервисов и подрядчиков — Проводить threat hunting регулярными циклами на основе матрицы MITRE ATT&CK Enterprise — Вести Threat Intelligence: работу с фидами, интеграцию индикаторов компрометации в средства защиты и мониторинга, обмен индикаторами с НКЦКИ — Поддерживать каталог плейбуков и runbooks для приоритетных сценариев (шифровальщики, фишинг, компрометация привилегированных учётных записей, DDoS, атаки на веб-ресурсы, инсайдер) и автоматизировать реагирование средствами SOAR — Взаимодействовать с ГосСОПКА и НКЦКИ по компьютерным инцидентам; обеспечивать готовность к категорированию и учёту объектов КИИ — Участвовать в цифровой криминалистике (DFIR): сбор и фиксация доказательств, анализ артефактов оперативной памяти и дисков, восстановление цепочки атаки — Участвовать в управлении уязвимостями: сканирование (MaxPatrol VM, RedCheck), риск-ориентированный backlog, контроль SLA по устранению, приоритизация по CVSS/EPSS/SSVC и построение моделей угроз на базе MITRE ATT&CK — Поддерживать реестр информационных активов, потоков и внешних зависимостей во взаимодействии с CMDB, анализировать безопасность цепочки поставок (supply chain security), участвовать в эмуляции действий атакующего (purple team) для валидации детектов Требования: — Опыт от 3 лет в мониторинге и реагировании на инциденты ИБ, анализе эффективности средств защиты информации или управлении уязвимостями — Высшее образование по направлениям «Информационная безопасность», «Компьютерные и информационные науки» или «Информатика и вычислительная техника» — Уверенное владение SIEM на уровне аналитика (корреляционные правила, расследование алертов) — MaxPatrol SIEM, KUMA или аналоги — Опыт работы с системами класса NDR/IDS и EDR, уверенный анализ сетевого трафика и журналов событий — Знание матрицы MITRE ATT&CK Enterprise: тактики, техники, процедуры, моделирование угроз — Понимание процесса реагирования на инциденты (ГОСТ Р 59709/59710/59711-2022, NIST SP 800-61) и ключевых метрик SOC (MTTD, MTTR) — Опыт работы с процессами Threat Intelligence: фиды, индикаторы компрометации — Навыки управления уязвимостями и их приоритизации по CVSS/EPSS/SSVC — Уверенная работа с Linux и Windows — Понимание профильных требований регуляторов в сфере ИБ, порядка категорирования объектов КИИ и взаимодействия с НКЦКИ/ГосСОПКА (187-ФЗ, 152-ФЗ, 149-ФЗ) — Чтение технической документации на английском (ATT&CK, CVE, threat-репорты, вендорская документация) — Готовность оперативно подключаться к разбору инцидентов вне обычного графика при серьёзных угрозах Будет плюсом: — Опыт работы в SOC/CSIRT и участия в разборе крупных инцидентов — Практический опыт цифровой криминалистики (DFIR) — Отраслевые сертификаты по ИБ (например, GCIH, GCFA, OSCP или отечественные аналоги) — Практический опыт с продуктами Positive Technologies и «Лаборатории Касперского» — Опыт threat hunting и построения корреляционного контента с нуля — Опыт эмуляции противника (purple team) и валидации детектов, включая навыки пентеста/Red Team — Навыки автоматизации анализа (Python, работа с API SIEM/SOAR) — Опыт участия в CTF-соревнованиях или программах bug bounty — Знание основ supply chain security и работы с CMDB Условия: Фиксированный оклад плюс ежемесячная премия за результат — сильный специалист выходит в верхнюю часть диапазона. Премия зависит от реально применяемых навыков и выполнения измеримых показателей, а за запущенные и востребованные округом проекты действует дополнительная надбавка. — Частичная компенсация аренды жилья — Бюджет на профессиональное обучение и профильные сертификации по ИБ — Задачи регионального масштаба и влияние на архитектуру SOC и процессов реагирования