Специалист по информационной безопасности

Должностные обязанности

Мониторинг:

• Ежедневный разбор срабатываний SIEM (MaxPatrol SIEM): триаж, классификация, отсечение ложноположительных срабатываний, эскалация подтверждённых событий.
• Разработка и сопровождение правил корреляции, нормализация и подключение новых источников событий: контроллеры домена, гипервизоры Hyper-V, MS SQL Server, коммутаторы Eltex, VPN-шлюзы, антивирусный сервер.
• Контроль полноты и непрерывности сбора событий по филиалам — отдельная задача, поскольку разрыв в поставке логов равнозначен отсутствию мониторинга.
• Мониторинг событий DLP (InfoWatch Traffic Monitor), контроль политик защиты от утечек.
• Контроль устранения уязвимостей по данным сканера (Vulnerability Management, MaxPatrol VM), приоритизация по критичности активов.

Расследование инцидентов:

• Локализация и сдерживание инцидента.
• Сбор и фиксация артефактов: журналы Windows Event Log, Sysmon, снимки памяти, образы дисков, сетевые дампы; обеспечение неизменности доказательной базы.
• Восстановление хронологии атаки, определение первоначального вектора проникновения и полноты компрометации.
• Подготовка отчёта по инциденту с разбором первопричины и планом устранения предпосылок.
• Разработка и актуализация карточек реагирования по типовым сценариям.

Обязательные требования

Опыт:

• От 2 лет в подразделении мониторинга ИБ / SOC либо в эксплуатации средств защиты с функцией разбора инцидентов.
• Практика самостоятельного расследования не менее чем по нескольким реальным инцидентам.

Технические компетенции:

• Операционные системы: глубокое понимание Windows Server и Active Directory — модель аутентификации Kerberos/NTLM, значимые идентификаторы событий (4624/4625/4672/4688/4768/4769/7045), механика делегирования и групповых политик. Базовый уровень Linux (журналирование, auditd).
• Сети: чтение сетевых дампов, понимание TCP/IP, туннелирования, DNS-эксфильтрации, признаков управляющего трафика (C2).
• SIEM: практика написания правил корреляции и поисковых запросов; понимание разницы между «событием», «алертом» и «инцидентом».
• Скрипты: PowerShell — уверенный уровень (сбор артефактов, массовые проверки по домену); Python — на уровне обработки и обогащения данных.
• Понимание принципов защиты персональных данных (152-ФЗ) и состава мер по Приказу ФСТЭК № 21.

Желательные требования

• Опыт эксплуатации именно MaxPatrol SIEM/VM и InfoWatch Traffic Monitor.
• Опыт работы с ГОСТ-шифрованием (ViPNet Client / Coordinator).
• Практика криминалистического анализа (Digital Forensics): работа с Volatility, Autopsy, парсерами $MFT, USN Journal, Shellbags, Prefetch.
• Опыт эксплуатации EDR-решений.
• Понимание специфики 1С:Предприятие в клиент-серверном режиме на MS SQL Server (журнал регистрации, разграничение прав) — критично, поскольку основной защищаемый актив компании именно этот.
• Сертификации: CompTIA Security+/CySA+, BlueTeam Labs, курсы по расследованию инцидентов.