Аналитик SOC L2

1. Расследование и анализ

• Глубокий анализ алертов, эскалированных с L1: определение первопричины, масштаба и критичности инцидента
• Проведение углублённых расследований с использованием SIEM, EDR, анализа сетевого трафика и корреляции логов
• Верификация истинно положительных событий и их классификация по уровню риска и влиянию на бизнес

2. Реагирование на инциденты и локализация

• Координация и выполнение мер сдерживания, устранения и восстановления совместно с ИТ-командами
• Следование процедурам реагированияt при кризисных инцидентах, своевременная эскалация руководств
• Выполнение действий по сдерживанию в соответствии с playbook'ами и клиентскими соглашениями (SLA), обеспечение единообразного и соответствующего требованиям реагирования

3. Оптимизация детектирования

• Разработка, обновление и оптимизация правил и сценариев детектирования в SIEM/EDR, снижение уровня ложных срабатываний
• Выявление слепых зон детектирования, подготовка предложений по улучшению инструментов, процессов и покрытия
• Обогащение расследований данными threat intelligence, передача выводов по инцидентам в логику детектирования

4. Обнаружение скрытых угроз

• Проактивный поиск скрытых угроз и TTP атакующих на основе специальных данных и поведенческого анализа
• Анализ паттернов данных и аномалий для выявления действий атакующих и внутренних угроз

5. Наставничество и взаимодействие

• Выполнение роли точки технической эскалации для аналитиков L1, предоставление экспертной поддержки в ходе реагирования
• Наставничество младших аналитиков, участие в программах обучения и передаче смен
• Взаимодействие с командой threat intelligence для обогащения контекста расследований

6. Документирование и постоянное улучшение

• Создание и дополнение таймлайнов инцидентов, доказательной базы и подробной документации
• Подготовка отчётов об инцидентах и ежедневных сводок по смене, отчётность перед руководством
• Участие в учениях по реагированию на инциденты, тренировках и пост-инцидентных разборах

Высшее образование:

SIEM и инструменты:

• Уверенное владение SIEM: поиск событий, запросы, корреляция, анализ цепочек
• Практический опыт с MaxPatrol SIEM или KUMA SIEM
• Знание EDR/XDR, NDR, SOAR, TIP, IDS/WAF/NGFW/AV

Технические знания:

• Windows/Linux на уровне администратора, глубокое понимание Windows Event Log, sysmon, syslog, auditd
• Сети: TCP/IP, OSI, DNS, HTTP/S, SMB, RDP, SSH; анализ трафика (Wireshark, tcpdump)
• Active Directory: учётные записи, группы, Kerberos/NTLM, cобытия аутентификации
• Умение анализировать события аутентификации, сетевые соединения, процессы и действия учётных записей
• Понимание IoC, TTP, критериев ложных и истинных срабатываний

Процессы и фреймворки:

• Понимание полного цикла SOC: детектирование → триаж → расследование → реагирование → разбор
• Уверенное знание MITRE ATT&CK, Cyber Kill Chain; работа с IoC, TTP, false/true positive
• Навык оценки характера инцидента, проверки учётных записей и хостов, выполнения мер сдерживания

• Работа в молодой аккредитованной IT-компании с численностью более 2000 человек;
• Социальный пакет, включая медицинское обслуживание (ДМС), в медицинских учреждениях ООО "РЖД";
• Компенсация проезда;
• Корпоративная мобильная связь.