Senior SOC Detection Engineer
Summary
A senior detection engineer designs, tests and tunes threat-detection and correlation rules in Splunk for a large international IT holding with fintech and crypto products, covering Windows, Linux and Kubernetes environments — including MITRE ATT&CK mapping, telemetry quality, false-positive reduction, and participation in threat hunting and incident response.
Компания нанимает специалистов, которые уже переехали из России и Беларуси.
Международный продуктовый IT-холдинг с командой 3000+ сотрудников развивает собственные технологические решения в сферах FinTech, Crypto и других digital-направлениях. В команду Security Operations мы ищем Senior SOC Detection Engineer, который поможет развивать направление Detection Engineering и усиливать возможности компании по обнаружению, расследованию и реагированию на угрозы в Windows, Linux и Kubernetes-инфраструктуре.
Роль предполагает полный цикл работы с security detections: от исследования техник атак и определения требований к логированию до разработки, тестирования, внедрения и постоянного улучшения правил детектирования в Splunk. Важная часть работы — повышение качества телеметрии, расширение покрытия угроз и снижение количества false positives.
Что предстоит делать
- Разрабатывать, тестировать, внедрять и поддерживать detection и correlation rules в Splunk или аналогичных SIEM-системах.
- Преобразовывать результаты расследований инцидентов, threat hunting и исследований техник атак в эффективные правила детектирования.
- Анализировать false positives, false negatives и пробелы в detection coverage.
- Расширять покрытие детектирования и маппить правила на техники MITRE ATT&CK.
- Разрабатывать и оптимизировать SPL-запросы, dashboards, reports и risk-based detections.
- Определять требования к логированию, parsing, normalization, enrichment и качеству данных.
- Разрабатывать мониторинг и health checks для detection rules и источников данных.
- Развивать автоматизированное тестирование детектов, synthetic events, telemetry replay и CI/CD-процессы.
- Участвовать в расследовании инцидентов, threat hunting, purple team exercises и attack emulation.
- Взаимодействовать с командами SOC, Incident Response, Threat Intelligence, Infrastructure и Engineering.
- Документировать логику детектирования, источники данных, зависимости, ограничения и ожидаемое поведение правил.
Что важно для нас
- Сильный практический опыт в SOC, Detection Engineering, Threat Hunting, Incident Response или смежных направлениях информационной безопасности.
- Глубокое понимание MITRE ATT&CK, распространённых техник атак и подходов к их обнаружению.
- Уверенное владение Splunk SPL или опыт работы с другой enterprise SIEM-платформой.
- Опыт разработки сложных поисковых запросов, корреляций, dashboards и reports.
- Практический опыт настройки и оптимизации детектов, работы с exceptions и allowlists.
- Умение определять требования к логированию и телеметрии и оценивать качество поступающих данных.
- Навыки автоматизации на Python, PowerShell или Bash.
- Опыт работы с Git, code review, API и базовыми CI/CD-процессами.
- Понимание принципов security monitoring в Windows и Linux.
- Способность самостоятельно разбираться в сложных технических задачах и доводить решения до результата.
- Хорошие коммуникативные навыки и умение эффективно взаимодействовать с разными техническими командами.
Будет плюсом
- Опыт работы со Splunk Enterprise Security, CIM, data models, macros и lookups.
- Практический опыт с Sysmon, Windows Security Auditing, Active Directory, auditd, osquery, Tetragon, Docker или Kubernetes.
- Опыт работы с YARA, CALDERA, Shuffle или другими инструментами security automation и attack emulation.
- Опыт разработки метрик качества детектирования и автоматизированных validation frameworks.
- Опыт работы с Terraform, Ansible или другими Infrastructure as Code инструментами.
- Участие в security research, профильных конференциях или профессиональном security-сообществе.