Principal DFIR & Threat Intelligence Analyst

Ведущий аналитик DFIR и Threat Intelligence

Местоположение: Бока-Ратон, Флорида Место работы: В офисе Занятость: Полная занятость

Присоединяйтесь к команде Modernizing Medicine

В ModMed мы не просто создаем программное обеспечение — мы переосмысливаем медицинское обслуживание. Основанная в 2010 году практикующим врачом и успешным технологическим предпринимателем, мы применили радикально иной подход: мы наняли врачей и научили их программировать. Эта философия «для врачей, от врачей» позволила нам создать облачную платформу на базе ИИ, специализированную для конкретных областей медицины, которая ставит пациентов в центр ухода.

Культура совершенства

Присоединяясь к ModMed, вы присоединяетесь к отмеченной наградами команде, признанной за инновации и удовлетворенность сотрудников. Из нашей штаб-квартиры в Бока-Ратон, Флорида, и обширной базы сотрудников в Хайдарабаде, Индия, мы — команда из более чем 4500 увлеченных своим делом специалистов, миссия которых — повысить успех медицинских учреждений и улучшить результаты лечения пациентов:

• Постоянно входим в число лучших работодателей
• Globee Business Awards 2025: Золотой Globee за «Команду года в области технологий»
• Black Book Awards 2025: №1 EHR в 11 областях специализации
• Florida Venture Forum: Компания года по венчурному финансированию

Мы быстро растем, мыслим масштабно, и только начинаем.

Готовы модернизировать медицину вместе с нами?

Краткое описание вакансии

Ведущий аналитик DFIR и Threat Intelligence (CTI) — это высший технический авторитет и технический руководитель для комплексной функции киберзащиты, которая объединяет киберразведку (CTI), мониторинг SOC с использованием ИИ, реагирование на инциденты (IR), цифровую криминалистику и анализ вредоносных программ в единый операционный конвейер. Работая с подходом «в первую очередь ИИ», эта должность предусматривает выделенную, непосредственную работу в четверг, пятницу, субботу и воскресенье, устраняя разрыв во времени реагирования в выходные дни и самостоятельно управляя инцидентами высокого и критического уровня от начала до конца.

Будучи единственным специалистом по DFIR, работающим непосредственно с системами в течение выходных, вы будете руководить инцидентами, выполнять быстрое сдерживание на скорости машины, проводить глубокий анализ памяти и облачных данных, обеспечивать устранение первопричин и готовить рекомендации по определению нарушений нормативных требований.

Не имея прямых подчиненных, эта конечная роль индивидуального исполнителя обладает техническим авторитетом в масштабах предприятия, устанавливая методологии обнаружения и поиска, наставляя более широкую команду операций по безопасности и предоставляя отчеты руководству.

График: Четверг – Воскресенье; с 9:00 до 17:00 EST в Бока-Ратон, Флорида.

Основные обязанности

1. Руководство инцидентами, цифровая криминалистика и анализ вредоносных программ (25%)

• Руководство полным циклом сдерживания инцидентов, изоляции хостов и анализа первопричин после инцидента в качестве руководителя инцидентов во время событий высокого и критического уровня безопасности.
• Выполнение роли единственного специалиста, непосредственно реагирующего на инциденты в выходные дни, самостоятельно управляя ими от первоначального обнаружения до криминалистической реконструкции и пост-анализа.
• Выполнение изоляции хостов в режиме реального времени с помощью CrowdStrike Real Time Response (RTR) и извлечение криминалистических артефактов из временной памяти, хранилищ (EBS, EFS, FSx, S3), контейнерных нагрузок (AWS EKS, ECS, Fargate) и журналов приложений (Apache Tomcat, CI/CD, Databricks).
• Использование криминалистических пакетов — включая CrowdStrike Falcon Forensics, KAPE, Volatility, FTK Imager и Velociraptor — для проведения анализа памяти и сортировки дисков.
• Выполнение триажа вредоносных программ, динамического/статического обратного инжиниринга, анализа в песочнице, деобфускации и извлечения C2, переводя результаты в оборонительные сигнатуры YARA.
• Обеспечение строгого соблюдения протоколов цепочки доказательств и подготовка юридически обоснованных отчетов о криминалистических расследованиях, соответствующих нормативным стандартам.

2. Автоматизация на базе ИИ, разработка правил обнаружения и архитектура журналов (20%)

• Создание, настройка и операционализация правил корреляции из нескольких источников и пользовательских индикаторов атак (IOA) CrowdStrike с использованием методологий «обнаружение как код» с контролем версий и тестированием CI/CD.
• Написание сложной логики запросов в CrowdStrike Query Language (CQL), Falcon Query Language (FQL), Kusto Query Language (KQL) и SQL/Athena для AWS Security Lake (формат OCSF/Parquet).
• Прием, преобразование и оптимизация высокообъемных телеметрических данных безопасности с использованием конвейеров Cribl Stream и Axonius (CAASM).
• Создание и поддержка автоматизированных рабочих процессов оркестровки с использованием Tines SOAR, CrowdStrike Fusion SOAR, серверных инструментов Python и многоагентных платформ для расследования с использованием ИИ (пользовательские агенты, подсказки и навыки) для ускорения триажа аналитиков.
• Систематическое сопоставление охвата обнаружения с фреймворками MITRE ATT&CK и MITRE D3FEND для проведения анализа пробелов и укрепления защиты.

3. Киберразведка (CTI), поиск угроз и защита поверхности атаки (20%)

• Выполнение полного цикла управления разведывательными данными в соответствии с приоритетными разведывательными требованиями (PIR) — сбор, обработка, анализ, распространение и обратная связь — с использованием структурированных аналитических методов (Diamond Model, Cyber Kill Chain, Analysis of Competing Hypotheses).
• Разработка и проведение основанных на гипотезах поисков угроз, основанных на TTP, оцененных по модели зрелости поиска угроз (Hunting Maturity Model), для выявления продвинутых техник злоумышленников и использования легитимных инструментов.
• Руководство защитой цифровых рисков (DRP): мониторинг подпольных форумов, отслеживание несанкционированных коммитов кода и утечек секретов во внешних репозиториях, а также управление блокировкой доменов.
• Развертывание и мониторинг ловушек Thinkst Canary и обманных активов для обнаружения ранних стадий разведки и бокового перемещения.
• Использование обработки на основе ИИ/LLM для преобразования OSINT, данных из даркнета, фидов Health-ISAC (STIX/TAXII) и известных уязвимостей CISA (KEV) в немедленные списки блокировки и правила поведенческого обнаружения.

4. Операции по безопасности облачных сред, рабочей нагрузки, идентификации и SaaS (20%)

• Мониторинг, триаж и расследование угроз в многорегиональной корпоративной инфраструктуре AWS, охватывающей более 120 аккаунтов, с использованием AWS Security Lake, CloudTrail, GuardDuty, Detective, Inspector 2, Security Hub, Config и VPC Flow Logs.
• Расследование сложных атак на учетные данные, техник «злоумышленник посередине» (AiTM) и попыток обхода MFA в Okta, Active Directory, Duo и Google Workspace.
• Обеспечение безопасности контейнерных нагрузок (EKS, ECS, Fargate) и основных конвейеров развертывания (Jenkins, Octopus Deploy, Ansible, GitHub Actions).
• Операционализация полной платформы CrowdStrike Falcon, включая NG-SIEM/LogScale, Spotlight, Discover, EASM, Identity Protection, Falcon Shield, ASPM, CSPM, FileVantage (FIM для соответствия PCI), AIDR и Data Protection/DLP.
• Защита каналов электронной почты и расследование фишинговых атак и распространения вредоносного ПО с использованием Abnormal AI.

5. Определение нормативных нарушений и взаимодействие с юридическим отделом/отделом конфиденциальности (15%)

• Формулирование рекомендаций по определению факта нарушения/отсутствия нарушения и сбор подтверждающей доказательной базы.
• Руководство оценками риска нарушений HIPAA по четырехфакторной модели и координация взаимодействий по расследованию инцидентов PCI (PFI).
• Подготовка и поддержание доказательств для судебных разбирательств в соответствии с криминалистическими юридическими стандартами.
• Прямое взаимодействие с юридическим отделом, сотрудником по вопросам конфиденциальности, внешними консультантами, страховыми компаниями по киберрискам и CISO для предоставления технических выводов, которые руководят решениями о нормативных уведомлениях (OCR, генеральные прокуроры штатов, контрактные SLA).

6. Лидерство в программе, метрики и постоянное совершенствование

• Определение, отслеживание и оптимизация операционных метрик: среднее время обнаружения (MTTD), среднее время подтверждения (MTTA), среднее время реагирования (MTTR), время сдерживания и время пребывания злоумышленника.
• Прямой перевод уроков, извлеченных после инцидентов, в циклы разработки систем обнаружения и укрепления инфраструктуры.
• Управление производительностью поставщика услуг управляемого обнаружения и реагирования (MDR) (ReliaQuest) и проведение оценки концепции (proof-of-concept) для новых технологий безопасности.
• Организация совместных учений (purple-team), имитационных упражнений (tabletop simulations) и тестов на эмуляцию действий злоумышленника для проверки точности обнаружения.
• Менторство и повышение квалификации аналитиков SOC в области расследований с использованием ИИ и современной цифровой криминалистики для устранения зависимости от одного человека в команде.

Квалификация

Минимальные требования

• Образование и опыт: Степень бакалавра в области кибербезопасности, компьютерных наук, информационных технологий, статистики, математики или смежной технической области (или эквивалентный практический опыт).
• Замена для военнослужащих и ветеранов: Эквивалентный военный опыт в области киберопераций, сетевой защиты или радиотехнической разведки (например, Army 17C/25D, Navy CTN, Air Force 1B4X1/1D7X1, USMC 17XX или эквивалентные киберспециализации Космических сил/Береговой охраны в активной, резервной или гвардейской службе) полностью заменяет требование о наличии степени.
• Более 10 лет практического опыта в области цифровой криминалистики, реагирования на инциденты (DFIR), операций SOC и киберразведки.
• Более 3 лет работы в качестве ведущего специалиста, руководителя или старшего сотрудника, отвечающего за реагирование на сложные корпоративные инциденты и кризисное управление.
• Руководство инцидентами и криминалистика: Подтвержденный опыт руководства корпоративными инцидентами высокого/критического уровня; практический опыт изоляции хостов (CrowdStrike RTR), анализа памяти, криминалистического анализа хранилищ (EBS, EFS, FSx, S3) и расследования контейнеров в соответствии со стандартами HIPAA, PCI DSS, SOC 2 или HITRUST.
• Экспертиза в облачных технологиях и управлении доступом: Глубокий опыт анализа телеметрии в крупных организациях AWS (более 100 аккаунтов), контейнерных средах (EKS), конвейерах CI/CD и корпоративных архитектурах управления идентификацией (Okta, Active Directory, Duo).
• Автоматизация и разработка: Опыт разработки логики обнаружения и запросов в CQL, FQL, KQL и SQL (Athena/OCSF) с возможностью написания скриптов/автоматизации на Python, PowerShell или Bash.
• Защита поверхности атаки: Подтвержденный опыт разработки основанных на гипотезах поисков угроз, руководства защитой цифровых рисков (отслеживание утечек секретов, блокировка доменов), развертывания сетей обнаружения (Thinkst Canary) и операционализации CTI (Health-ISAC, CISA KEV).
• Требование к графику: Способность и готовность работать по выделенному графику в выходные дни (с четверга по воскресенье) в качестве основного специалиста по DFIR.

Предпочтительные квалификации

• Магистр в области кибербезопасности, компьютерных наук или смежной технической области.
• Отраслевые сертификаты: Основные DFIR: GIAC Certified Forensic Analyst (GCFA), GIAC Certified Incident Handler (GCIH).
• Облачные технологии и управление: AWS Certified Security - Specialty, GIAC Cloud Security Automation (GCSA), CCSP, CISSP.
• ИИ и автоматизация: GIAC AI Security Automation Engineer (GASAE), GIAC Machine Learning Engineer (GMLE).
• CrowdStrike: CrowdStrike Certified Falcon Hunter (CCFH), Falcon Responder (CCFR) или Falcon Administrator (CCFA).
• Опыт администрирования Tines SOAR, CrowdStrike Fusion SOAR, Cribl Stream или создания рабочих процессов расследования на основе LLM-агентов.
• Прямой опыт проведения оценок рисков нарушений нормативных требований (оценки HIPAA по 4 факторам, расследования PFI) в сфере медицинских технологий или SaaS.

Основные преимущества ModMed

В ModMed мы считаем важным предлагать конкурентоспособный пакет льгот, разработанный для удовлетворения разнообразных потребностей нашего растущего персонала. Имеющие право сотрудники ModMed могут воспользоваться широким спектром льгот:

Соединенные Штаты

• Комплексные медицинские, стоматологические и офтальмологические услуги, включая взносы компании в накопительный медицинский счет (Health Savings Account).
• 401(k): ModMed обеспечивает ежемесячное соответствие вашему взносу в размере 50% от вашего взноса, отложенного до 6% от вашей зарплаты. По истечении одного года работы в ModMed 100% любого соответствующего взноса, который вы получаете, остается вашим.
• Щедро оплачиваемый отпуск и оплачиваемый отпуск по уходу за ребенком.
• Оплачиваемые компанией страхование жизни и от нетрудоспособности, счет гибких расходов и программы помощи сотрудникам.
• Корпоративные группы поддержки ресурсов для сотрудников и по особым интересам, которые обеспечивают вовлеченные и поддерживающие сообщества внутри ModMed.
• Возможности профессионального развития, включая программы возмещения расходов на обучение и неограниченный доступ к LinkedIn Learning.
• Глобальное присутствие и возможности для очного сотрудничества; штаб-квартира (США) дружелюбна к собакам, гибридные офисные должности и удаленная работа для некоторых ролей.
• Еженедельные завтраки и обеды за счет компании, рабочие станции с беговыми дорожками, комнаты релаксации и оздоровления в нашей штаб-квартире BRIC.