Аналитик SOC L2-L3
Summary
Investigates and responds to cybersecurity incidents for a large pharma company, analyzing logs from SIEM/EDR, coordinating teams, and improving detection workflows.
Наш клиент — крупная фармацевтическая компания в поисках Аналитика SOC L2-L3.
Задачи
- Обрабатывать входящие эскалации от внешнего SOC, внутренних ИТ-специалистов, систем защиты (EDR/SIEM) и бизнес-пользователей, проводя полноценные внутренние разбирательства по каждому факту.
- Исследовать инциденты с технической стороны: выгружать и изучать данные из SIEM, телеметрию EDR-систем, логи контроллеров домена, VPN-шлюзов, межсетевых экранов, серверных и пользовательских машин, почтовой инфраструктуры и бизнес-приложений.
- Выступать связующим звеном при реагировании: организовывать работу ИТ-отдела, владельцев сервисов, внешних подрядчиков, юристов и представителей бизнеса.
- Проектировать и обновлять сценарии реагирования под наиболее вероятные угрозы: фишинговые атаки, взлом учетных записей, вредоносное ПО, программы-шифровальщики, инциденты с участием сторонних организаций, компрометация внешних веб-ресурсов, утечки персональных данных.
- Отслеживать реализацию планов по устранению недостатков, выявленных в ходе расследований, и добиваться их выполнения.
- Влиять на качество детектирования: помогать с подключением новых источников событий и формировать требования к логированию для внешнего SOC и SIEM-платформы.
- Проводить разборы завершенных инцидентов (post-mortem) и готовить итоговые материалы для руководителя направления ИБ.
- Принимать участие в плановых учениях и проверках операционной готовности к внештатным ситуациям.
- Развивать внутреннюю готовность к форензике: актуализировать список доступных источников данных, регламентировать порядок сохранения артефактов, поддерживать минимальные стандарты ведения журналов.
Требования
- Опыт в расследовании инцидентов / SOC L2–L3 / ИБ-аналитике от 3 лет.
- Опыт анализа событий из SIEM, EDR, AD, почтовых систем, сетевых устройств, VPN, серверов и рабочих станций (плюсом будет опыт с MaxPatrol SIEM, QRadar или ELK).
- Понимание Windows-инфраструктуры, Active Directory и типовых артефактов компрометации.
- Навыки базового анализа сетевой активности и логов.
- Умение собирать факты, строить таймлайн и отличать подтвержденный инцидент от подозрения.