Инженер киберзащиты

Что предстоит делать

Местоположение: Удалённо, Манчестер, Великобритания BeyondTrust — это место, где вы можете реализовать своё призвание через работу, которую вы делаете, создавая более безопасный мир с помощью нашего портфеля SaaS-решений в области кибербезопасности. Наша культура гибкости, доверия и непрерывного обучения означает, что ваш рост и ваш вклад в наш успех будут признаны. Вас будут окружать люди, которые бросают вам вызов, поддерживают и вдохновляют вас быть лучшей версией себя. Роль BeyondTrust — мировой лидер в области управления привилегированным доступом. Наши продукты обеспечивают возможности удалённого доступа и привилегированного контроля, которые развёрнуты в тысячах корпоративных сред по всему миру. Это делает нас целью высокой ценности. Государственные акторы, операторы программ-вымогателей и изощрённые группы угроз активно нацеливаются на такие компании, как наша, — не только чтобы скомпрометировать нашу корпоративную среду, но и чтобы добраться до клиентов, которые доверяют нашему программному обеспечению защиту своих наиболее чувствительных систем. Компрометация BeyondTrust — это компрометация уровня привилегированного доступа внутри сетей наших клиентов. Мы серьёзно относимся к этой ответственности. В качестве Cyber Defense Engineer в нашей команде Cyber Defense Operations вы будете передовым защитником, ответственным за защиту как корпоративной инфраструктуры BeyondTrust, так и целостности продуктов, от которых зависят наши клиенты. Вы будете отслеживать, расследовать и реагировать на события безопасности в среде, где ставки реальны, а противники обладают высокими возможностями. Вы будете работать вместе с опытными threat hunter'ами, специалистами по реагированию на инциденты и инженерами по детектированию в коллаборативной команде, которая ценит острое аналитическое мышление выше формального соответствия требованиям. Эта команда движется к операционной модели, дополненной AI. Ожидается, что вы будете использовать инструменты на основе AI в своей повседневной работе и вносить вклад в то, как мы интегрируем эти возможности в наши рабочие процессы детектирования, триажа и реагирования. Мы не ищем людей, которые ждут, пока им скажут, что делать, — мы ищем людей, которые хотят что-то построить. Что вы будете делать Триаж оповещений и мониторинг Отслеживать и проводить триаж оповещений безопасности на платформах SIEM, EDR и CSPM, охватывающих как корпоративную среду, так и среду продуктов. Расследовать оповещения, чтобы определить масштаб, серьёзность и необходимость эскалации. Использовать инструменты триажа и обогащения на основе AI для ускорения анализа и сокращения среднего времени до обнаружения. Классифицировать, документировать и отслеживать оповещения на протяжении всего жизненного цикла с использованием систем тикетов и управления кейсами. Реагирование на инциденты и расследования Участвовать в мероприятиях по реагированию на инциденты или руководить ими от обнаружения до устранения, включая сбор доказательств, форензический анализ, определение первопричины и коммуникацию с заинтересованными сторонами. Проводить расследования по источникам SIEM, EDR, CSPM и cloud-native логов, включая логи провайдеров идентификации, облачные аудиторские журналы и данные сетевых потоков, — охватывая как корпоративную инфраструктуру, так и инфраструктуру продуктов. Выполнять установленные IR runbook'и по рабочим процессам расследований в области идентификации, конечных точек, облака и электронной почты. Управлять обработкой доказательств или помогать в ней, сбором форензических артефактов и процедурами chain-of-custody. Составлять чёткие, готовые к принятию решений резюме инцидентов и пост-инцидентные отчёты как для технической аудитории, так и для руководства. Detection Engineering и Threat Intelligence Вносить вклад в проектирование, внедрение и настройку правил детектирования на платформах SIEM и EDR с фокусом на снижение ложных срабатываний и закрытие пробелов в покрытии. Преобразовывать threat intelligence (CVE-рекомендации, оповещения CISA, бюллетени вендоров, open-source фиды) в действенный контент для детектирования, с особым вниманием к угрозам, нацеленным на инструменты привилегированного доступа и векторы атак через цепочку поставок. Помогать поддерживать и развивать покрытие детектирования, сопоставленное с MITRE ATT&CK. Сотрудничать с коллегами по threat hunting для валидации логики детектирования через охоты, основанные на гипотезах. Интеграция AI и автоматизация Использовать инструменты на основе AI для триажа оповещений, обогащения и расследований как стандартную часть повседневной работы. Вносить вклад в оценку, интеграцию и оптимизацию возможностей AI и автоматизации в рабочих процессах команды. Помогать в проектировании промптов, агентных рабочих процессов или пайплайнов на основе LLM, которые расширяют возможности аналитиков и снижают объём ручной работы. Сотрудничать с инженерными командами для улучшения приёма логов, качества данных и интеграций инструментов. Операционное совершенство Вести ежедневные операционные заметки и документацию для передачи смены. Вносить вклад в IR runbook'и, playbook'и и стандартные операционные процедуры и совершенствовать их. Участвовать в дежурствах по вызову для эскалации инцидентов в нерабочее время. Отслеживать и отчитываться по операционным метрикам (MTTD, MTTR, MTTC, уровень ложных срабатываний) и выявлять возможности для улучшения. Участвовать в tabletop-учениях, мероприятиях purple team и пост-инцидентных разборах. Что вы принесёте 4+ года опыта в роли SOC, в области security operations или реагирования на инциденты. Понимание распространённых фреймворков атак (MITRE ATT&CK), сетевых протоколов и поведения конечных точек. Опыт работы как минимум с одной платформой SIEM и знакомство с написанием поисковых или детектирующих запросов. Знакомство с платформами EDR и облачными средами (предпочтительно IaaS). Уверенное использование AI-систем (например, ассистентов на основе LLM, copilot'ов или инструментов анализа на основе AI) как части рабочих процессов безопасности. Сильные навыки письменной коммуникации; способность чётко и лаконично документировать выводы как для технической, так и для нетехнической аудитории. Будет плюсом Опыт руководства сложными мероприятиями по реагированию на инциденты или со-руководства ими от триажа до устранения. Опыт работы с платформами управления идентификацией и доступом и инструментами управления облачной безопасностью (cloud security posture management). Навыки написания скриптов и автоматизации (Python, PowerShell или эквивалент), применяемые к рабочим процессам безопасности. Знакомство с платформами SOAR или инструментами оркестрации для автоматизированного реагирования и обогащения. Опыт проектирования или внедрения архитектур AI-агентов, пайплайнов автоматизации на основе LLM или prompt engineering для сценариев безопасности. Опыт построения программ threat intelligence или пайплайнов detection-as-code либо участия в них. Понимание ландшафта управления привилегированным доступом и угроз, которые на него нацелены. Подтверждённый опыт оценки и внедрения новых технологий в производственной среде безопасности.

Что предлагаем