Tech Lead Cyber (Blue Team)
Summary
Technical lead for a SOC Blue Team at a security services provider: serves as the technical escalation point for detection, investigation and incident response, leads onboarding of new client environments (tenants, log sources), validates client-facing reports, and mentors analysts. Core stack: SIEM (Splunk, Sentinel, QRadar, Elastic), EDR, SOAR, cloud logs (Azure/AWS, Microsoft 365).
Sobre a Think
Somos um grupo de tecnologia com cerca de 250 colaboradores, especializado em serviços gerenciados e outsourcing de TI e certificado ISO 27001. Nossa área de Cyber Security protege ambientes de clientes de diversos setores e está evoluindo sua operação de SOC, resposta a incidentes e segurança ofensiva.
A oportunidade
Você será a referência técnica de Cyber. Vai integrar a nova squad de CSIRT (War Room), ser o ponto focal técnico de todos os analistas, administrar a arquitetura do SIEM propondo melhorias e elevar a maturidade do time, alinhando processos e runbooks e garantindo os tempos de atendimento acordados com o cliente (MTTA e MTTR). Também fará a ponte entre Blue, Red e Purple Team, para que o que a ofensiva descobre se transforme em detecção e resposta melhores. É uma posição para quem gosta de resolver problemas técnicos complexos, de ensinar e de apoiar a Coordenação na gestão técnica do time.
Responsabilidades
• Integrar a nova squad de CSIRT (War Room), atuando como referência técnica na resposta a incidentes de maior criticidade.
• Ser o ponto focal técnico de todos os analistas (monitoramento, contas e CSIRT): esclarecer dúvidas, revisar casos, orientar e acompanhar a evolução de cada um.
• Administrar a arquitetura do SIEM (fontes de log, tenants, regras, integrações e desempenho), propondo e conduzindo melhorias.
• Elevar a maturidade técnica do time: padrões de qualidade, trilhas de capacitação e avaliações técnicas.
• Auxiliar na gestão da parte técnica do time, alinhando novos processos, runbooks e playbooks com a Coordenação e o CSIRT.
• Garantir os tempos de MTTA e MTTR acordados com o cliente: acompanhar os indicadores, identificar gargalos e agir sobre eles.
• Conectar Blue, Red e Purple Team: planejar exercícios de Purple Team com a Segurança Ofensiva e transformar achados de pentest e de gestão de vulnerabilidades em casos de uso de detecção e correções.
• Liderar tecnicamente a implantação de novos clientes: tenants, fontes de log, kick-offs, planejamento e cronograma de onboarding.
• Validar relatórios técnicos e operacionais antes da entrega ao cliente, garantindo qualidade, padronização e clareza.
• Apoiar a melhoria contínua da detecção (casos de uso, ajustes e redução de falsos positivos) e a automação do atendimento, com SOAR e uso de IA.
• Ser a referência técnica do time e apoiar a Coordenação com indicadores técnicos e operacionais e propostas de evolução.
Requisitos obrigatórios
• 7 anos ou mais em segurança da informação, com pelo menos 4 anos em SOC, detecção ou resposta a incidentes (nível 2/3).
• Experiência de liderança técnica: referência para o time, mentoria de analistas e condução de entregas, mesmo sem gestão formal de pessoas.
• Domínio de SIEM (Splunk, Sentinel, QRadar, Elastic ou similar), incluindo administração e arquitetura (fontes de log, parsers, regras e ambientes multi-tenant), e de EDR.
• Experiência em resposta a incidentes e em gestão de incidentes críticos, de preferência em formato de war room.
• Experiência em engenharia de detecção: criação e ajuste de regras e casos de uso (KQL, SPL, Sigma ou equivalentes).
• Conhecimento sólido de MITRE ATT&CK, NIST e ISO 27001.
• Visão de segurança ofensiva (pentest, gestão de vulnerabilidades, Red e Purple Team) suficiente para dialogar com a ofensiva e priorizar achados.
• Conhecimento de métricas operacionais (MTTA, MTTR e SLA) e capacidade de estruturar processos e runbooks.
• Experiência com logs de ambientes cloud (Azure e/ou AWS) e Microsoft 365.
• Boa comunicação com clientes e lideranças e capacidade de organizar projetos, com prazos e entregáveis.
• Inglês técnico para leitura.
Diferenciais
• Experiência em MSSP ou consultoria, atendendo vários clientes.
• Automação e SOAR; uso de IA aplicada ao SOC; scripts em Python ou PowerShell.
• Certificações como GCIH, GCFA, GCDA, CISSP, SC-200, OSCP ou equivalentes.
• Experiência com emulação de adversários e exercícios de Purple Team, threat hunting ou tabletop.
• Experiência com ferramentas de chamados e ITSM (por exemplo, Jira ou Freshworks).
• Experiência com plataformas de proteção de e-mail, DLP e monitoramento de marca (por exemplo, Ironscales, Microsoft Purview e Axur).