Описание
Описание вакансии
Snowbit — инновационная компания в области кибербезопасности, стремящаяся дать организациям по всему миру возможность быстро, эффективно и экономично подготовиться к повсеместным киберрискам. Основываясь на многолетнем опыте в области кибербезопасности израильских специалистов, Snowbit стремится предложить самое широкое на сегодняшний день решение для управляемого обнаружения и реагирования (MDR). Snowbit является частью группы Coralogix, которая перестраивает путь к наблюдаемости, снимая бремя индексации и предоставляя глубокие аналитические данные в бесконечном масштабе менее чем за половину стоимости.
Snowbit ищет опытного Старшего инженера по поиску угроз и реагированию на инциденты для присоединения к нашей команде управляемого обнаружения и реагирования (MDR). Эта роль требует экспертизы в реагировании на инциденты, поиске угроз, с особым акцентом на облачные среды и Kubernetes. Вы будете руководить усилиями по защите наших клиентов от передовых киберугроз, одновременно способствуя непрерывному совершенствованию методологий, процессов и технологического стека Snowbit.
Обзор роли
Мы нанимаем старшего инженера для проведения проактивных поисков угроз и анализа журналов инцидентов в средах Coralogix наших клиентов. Эта роль находится в команде Threat Detection & Response (TDR) и существует потому, что охват поиска ограничен часами работы аналитиков, а не данными. Мы устраняем этот разрыв, создавая автоматизированную возможность поиска, поэтому этот сотрудник как ищет угрозы, так и разрабатывает системы, которые их ищут.
О команде
Область ответственности TDR включает поиск угроз, поддержку реагирования на инциденты и анализ угроз. Мы отвечаем за разработку систем обнаружения и проактивный поиск, а не за обработку очередей оповещений. Это роль, связанная с разработкой и расследованием, где работа заключается в формировании гипотезы, ее подтверждении или опровержении на основе данных и преобразовании полученных знаний в долгосрочную логику обнаружения.
Мы работаем с несколькими клиентскими экземплярами Coralogix, каждый из которых имеет свои источники журналов, соглашения об именовании и качество данных. Поиск, написанный один раз, должен быть адаптирован, проверен и повторно выполнен для каждой среды, что и составляет большую часть нашей работы.
Требования
Что вы будете делать
Роль примерно делится на 40% проактивного поиска, 25% разработки систем обнаружения, 20% поддержки анализа инцидентов и отчетности, и 15% разработки автоматизированных инструментов, которые обеспечивают масштабируемость первых трех направлений. Это соотношение меняется во время активных клиентских инцидентов.
Проактивный поиск угроз
- Разрабатывать и проводить поиски на основе гипотез в облачных, идентификационных, конечных точках и сетевых телеметриях в клиентских экземплярах Coralogix.
- Транслировать аналитику угроз, методы MITRE ATT&CK и уроки, извлеченные после инцидентов, в проверяемые гипотезы поиска с определенными требованиями к данным и критериями успеха.
- Создавать и поддерживать библиотеку повторно используемых поисков, чтобы поиск, подтвержденный в одной среде, мог быть повторно выполнен в другой с известными адаптациями.
- Устанавливать базовые уровни нормального поведения для каждой среды и выявлять отклонения, заслуживающие эскалации.
Разработка систем обнаружения
- Писать, настраивать и проверять правила обнаружения и определения оповещений с документированной логикой, ожидаемым профилем ложных срабатываний и рекомендациями по реагированию.
- Измерять охват обнаружения по отношению к ATT&CK и закрывать наиболее важные пробелы для профиля угроз каждого клиента.
- Уменьшать шум оповещений путем повышения точности правил, а не повышения пороговых значений, и предоставлять доказательства улучшения.
Поддержка реагирования на инциденты
- Выполнять анализ на основе журналов во время клиентских инцидентов: реконструировать временные шкалы, определять затронутые идентификаторы и активы, и устанавливать, что подтверждается, а что нет, исходя из доказательств.
- Выявлять индикаторы компрометации и выполнять переход между источниками данных для поиска связанной активности.
- Предоставлять команде по реагированию на инциденты клиента обоснованный пакет доказательств и четкие, приоритетные рекомендации.
Создание автоматизированного поиска угроз
- Превращать ручные поиски в автоматизированные: кодировать гипотезу, ее запросы, переходы и оценку в рабочий процесс, который многократно выполняется в разных экземплярах без участия аналитика на каждом этапе.
- Создавать и расширять уровень оркестрации (специализированные агенты для каждого источника журналов, уровень корреляции, связывающий результаты между идентификационными, облачными и сетевыми телеметриями, и уровень контекста клиента, который поддерживает различие базовых уровней для каждого экземпляра).
- Подключать модели к данным безопасности через серверы и клиенты MCP и упаковывать повторяемые процедуры как повторно используемые навыки, которыми может пользоваться вся команда.
- Определять контрольные точки для человека: что агент может делать без надзора, что требует проверки аналитика перед тем, как оно будет передано клиенту, и как каждое найденное доказательство прослеживается до исходных данных.
- Оценивать систему с течением времени (ложные срабатывания, неподтвержденные выводы, дрейф запросов и подсказок) и улучшать ее на основе этих данных, а не впечатлений.
Отчетность и поддержка
- Создавать отчеты для клиентов на ясном, несенсационном языке, который отличает подтвержденные результаты от оценок.
- Передавать пробелы в обнаружении и логировании, найденные во время поиска, обратно в рекомендации по подключению и охвату.
- Обучать менее опытных аналитиков технике запросов, обработке доказательств и аналитической строгости.
Что вам понадобится
- 4–8 лет опыта в поиске угроз, разработке систем обнаружения, анализе SOC или DFIR, причем не менее двух лет посвящены проактивному поиску или созданию контента для обнаружения, а не только обработке очередей.
- Свободное владение языком запросов к журналам — Dataprime, KQL, SPL, Lucene, SQL или эквивалентным. Вы должны уметь писать многоэтапные агрегации, соединения и корреляции по временным окнам без использования шаблонов.
- Вы создаете с помощью ИИ, а не просто работаете параллельно с ним. Вы создали что-то реальное (агент, сервер или клиент MCP, рабочий процесс вызова инструментов, конвейер обогащения или сортировки на базе LLM) и можете объяснить, где это сработало, где потерпело неудачу и как вы поняли разницу. Если вы автоматизировали поиск или расследование таким образом, начните с этого.
- Рабочее знание MITRE ATT&CK как аналитического инструмента: сопоставление наблюдаемого поведения с методами и рассуждение о пробелах в охвате, а не просто тегирование правил после факта.
- Демонстрируемый опыт анализа инцидентов: реконструкция временных шкал, определение масштаба, переход между источниками и отделение того, что доказывают доказательства, от того, что они предполагают.
- Письменная коммуникация, которая выдерживает проверку клиента. Вы будете писать отчеты, которые читают руководители служб безопасности, а иногда и аудиторы. Ясность, точные оговорки и отсутствие необоснованной уверенности.
- Аналитическая дисциплина: вы указываете свой уровень уверенности, отмечаете, что опровергло бы вашу гипотезу, проверяете выводы, сгенерированные ИИ, на основе исходных данных и вы с комфортом заключаете, что ничего не найдено.
- Комфортная работа с несколькими экземплярами с непоследовательным качеством данных, частичным охватом журналов и невозможностью изменять исходные системы.
- Это работа в офисе в Гуруграме.
Соответствие культуре
Мы ищем кандидатов, которые амбициозны, скромны и умны. Coralogix способствует развитию культуры инноваций и непрерывного обучения, где члены команды поощряются бросать вызов существующему положению вещей и вносить свой вклад в нашу общую миссию. Если вы преуспеваете в динамичной среде и стремитесь формировать будущее решений для обеспечения наблюдаемости, мы будем рады услышать от вас.
Coralogix является работодателем, предоставляющим равные возможности, и поощряет подачу заявок от кандидатов любого происхождения.
