# Инженер по безопасности (Киберзащита)
Местоположение: Открыто — Белград, гибридный формат
Отдел: Продукты и технологии — Кибербезопасность
Подчиняется: Руководителю отдела кибербезопасности
Тип занятости: Полная занятость. Ротация дежурств.
Цель роли
Инженер по безопасности в команде киберзащиты — это старший практический защитник, работающий вместе с Руководителем отдела кибербезопасности. Он строит, настраивает и эксплуатирует возможности обнаружения и реагирования, которые защищают BoyleSports от активных угроз. Он пишет правила обнаружения, проводит охоты за угрозами, расследует оповещения, которые эскалирует MSSP, и находится на мостике во время инцидентов.
Это инженерная роль внутри функции кибербезопасности. Она отличается от инженеров по безопасности в CCoE, которые создают возможности безопасности платформы. Эта роль строит оборонительные возможности — правила, автоматизации, интеграции и инструменты, которые позволяют BoyleSports видеть и останавливать атаки.
Ключевые обязанности
Инженерия обнаружения
•Проектирование, написание, тестирование и настройка правил обнаружения в Cortex XDR / XSIAM, облачной телеметрии (AWS CloudTrail, GuardDuty, журналы аудита EKS), телеметрии идентификации (Entra ID, локальный AD), конечных точках, сетевых и прикладных журналах.
•Рассматривать правила обнаружения как код. Контролировать версии правил, проводить взаимный обзор изменений, писать тесты, измерять покрытие по MITRE ATT&CK и удалять правила, которые больше не оправдывают себя.
•Отвечать за подключение и парсинг логов новых источников. Работать с командами платформенной и прикладной инженерии, чтобы новые сервисы с первого дня предоставляли полезную телеметрию, а не добавляли её задним числом через шесть месяцев.
Охота за угрозами и расследования
•Проводить структурированные охоты за угрозами на основе гипотез, выведенных из разведданных, недавних инцидентов и тактик злоумышленников, актуальных для онлайн-гемблинга (захват аккаунтов, мошенничество, связанное с злоупотреблением бонусами, атаки на платежи, тактики операторов программ-вымогателей).
•Руководить глубокими расследованиями по оповещениям, эскалированным от MSSP Palo Alto. Определять коренную причину и полный масштаб до передачи на локализацию.
•Документировать результаты настолько подробно, чтобы следующий аналитик через шесть месяцев мог продолжить расследование.
Реагирование на инциденты
•Находиться на мостике во время инцидентов P1 и P2. Лично управлять действиями по локализации и устранению в сотрудничестве с командами платформенной, инфраструктурной и продуктовой инженерии.
•Отвечать за техническую хронологию, индикаторы компрометации, цепочку доказательств и артефакты, необходимые для уведомления регуляторов и последующего анализа инцидента.
•Замещать Руководителя отдела кибербезопасности в роли Командира инцидента при необходимости.
Автоматизация и SOAR
•Создавать и поддерживать сценарии SOAR. Автоматизировать повторяющиеся этапы триажа, обогащения, локализации и уведомления, чтобы внимание команды было сосредоточено на тех частях, которые требуют участия человека.
•Интегрировать инструменты обнаружения и реагирования с остальным стеком — тикетингом, чатами, идентификацией, облачными контроллерами — используя чистый, поддерживаемый код.
Партнёрство с MSSP
•Быть основным техническим интерфейсом команды с управляемым SOC Palo Alto. Проверять их правила обнаружения, оспаривать их анализ, давать обратную связь для повышения качества и эскалировать при необходимости.
•Проводить регулярные учения по обнаружению и реагированию с MSSP. Убедиться, что сценарии работают в реальных условиях.
Purple teaming и валидация
•Работать с партнёрами по offensive security для проведения упражнений purple-team. Превращать выводы красной команды в усиленные правила обнаружения и проверенные процедуры реагирования.
•Использовать инструменты моделирования атак и нарушений для постоянной проверки покрытия обнаружения.
Опыт и квалификации
Обязательные
•Подтверждённый практический опыт работы аналитиком SOC (старший / уровень 3), инженером по обнаружению, охотником за угрозами или специалистом по реагированию на инциденты. Кандидаты должны уметь конкретно рассказывать о написанных ими правилах обнаружения, проведённых охотах и обработанных инцидентах.
•Глубокие знания хотя бы одной крупной платформы SIEM/XDR и языка запросов к ней. Идеально подходят Palo Alto Cortex XDR / XSIAM и XQL. Опыт работы с Splunk, Sentinel, Elastic или Chronicle также приемлем, при условии, что кандидат может чётко перейти на новую платформу.
•Практический опыт расследований в AWS — CloudTrail, GuardDuty, журналы потоков VPC, журналы аудита EKS, анализ IAM. Уверенное чтение JSON-событий и анализ цепочек вызовов API.
•Навыки скриптинга на Python или эквиваленте — достаточно для парсинга доказательств, написания шагов SOAR и создания небольших инструментов без ожидания помощи.
•Хорошее понимание MITRE ATT&CK, модели diamond и структурированного подхода к расследованиям. Умение составлять чёткую хронологию инцидента.
•Спокойствие в стрессовых ситуациях. Уверенность в участии в конференц-звонках в 03:00 ночи.
Желательно
•Опыт работы в онлайн-гемблинге, платежах, финансовых услугах или другой среде с большим объёмом потребителей и активным мошенничеством и захватом аккаунтов.
•Опыт работы с розничными или распределёнными конечными точками (устройства, похожие на POS, SD-WAN, управляемые Intune парки устройств).
•Опыт работы с аутсорсинговыми SOC или внутри них.
Сертификаты и образование
•Ценятся практические сертификаты, такие как GCIA, GCIH, GCFA, GNFA, BTL1 или эквивалент. Сертификаты в соответствующем стеке обнаружения от вендоров являются плюсом.
•Наличие профильного образования приветствуется, но не обязательно.
