Старший инженер по детекции и реагированию

Что предстоит делать

**Местоположение:** Удалённо Вы — тот detection engineer, к которому обращаются с вопросом «а что Microsoft на самом деле здесь видит?» Не ответ со слайда маркетинга, а настоящую карту. Какой продукт генерирует какую телеметрию, какие ожидаются задержки приёма данных, в какую таблицу или API она попадает, какой уровень лицензии её открывает, как долго она хранится, прежде чем устареет, и где документация тихо расходится с реальностью. Когда появляется новая техника, ваша первая мысль — какой сигнал Microsoft её поймает и включён ли он у клиентов. Вы также знаете, что Microsoft никогда не стоит на месте. Появляются таблицы для hunting, переименовываются столбцы, версии Graph выводятся из эксплуатации, возможности перетасовываются между SKU, preview становятся GA, функции тихо исчезают, а логика нативных алертов меняется у вас под ногами. У вас есть воспроизводимый способ оставаться на шаг впереди этой текучки, вместо того чтобы узнавать о ней, когда детект перестаёт срабатывать. Вы уверенно чувствуете себя и за командной строкой, и перед клиентом, включая сценарии, где разговор не из приятных. Если это про вас — будем рады поговорить! У нас потрясающая команда, и мы уверены, что вам понравится с нами познакомиться. В Expel мы помогаем бизнесу закрывать дефицит кадров в кибербезопасности, предоставляя прозрачный Managed Detection and Response. Для этого мы создаём технологии, чтобы наши security-аналитики решали важные задачи, а автоматизация помогала им принимать лучшие решения на каждом шаге. Нам в удовольствие использовать технологии, чтобы делать безопасность доступной для наших клиентов. **Что Expel может сделать для вас** Сделать вас одним из наших признанных авторитетов по обнаружению и реагированию в Microsoft — для нашего SOC, наших инженеров, наших go-to-market команд и наших клиентов Дать вам реальную ответственность за покрытие детектирования Expel по всему ландшафту безопасности Microsoft Поставить перед вами телеметрию Microsoft со всей нашей клиентской базы — широту реальных сред, которую не увидит ни одно отдельное предприятие Позволить вам писать и настраивать детекты в нашем собственном движке правил и наблюдать, как они работают на живом сигнале Относиться к AI-инструментам (Claude Code и компании) как к полноценной части того, как вы работаете, а не как к побочному эксперименту Дать вам возможность учиться у аналитиков, data scientists, инженеров и специалистов по реагированию, отвечающих за различные компоненты продукта и услуг Expel Обеспечить доступ к популярным технологиям EDR, network, SIEM, identity и cloud, далеко выходящим за пределы стека Microsoft Бросить вам вызов раздвигать границы нашего видения безопасности **Что вы можете сделать для Expel** Взять на себя наше покрытие детектирования по Defender XDR, Entra ID, Sentinel, Microsoft Graph, Azure и Microsoft 365 — от сырого сигнала до выпущенных, настроенных детектов Построить и поддерживать живую карту сигналов безопасности Microsoft: что существует, известные задержки приёма, куда попадает, что ограничивает доступ, как долго хранится и насколько ему можно доверять Отслеживать, как этот сигнал меняется, и превращать каждое существенное изменение в конкретное действие — ловить дрейф до того, как он обойдётся нам в эффективности Говорить нам, где нативные детекты Microsoft достаточно сильны, чтобы на них опереться, где они шумные или поверхностные и где Expel нужен собственный слой Делать SOC-аналитиков быстрее, автоматизируя специфичные для Microsoft рабочие процессы расследования через Graph, Defender, Sentinel и Entra API Сотрудничать с Engineering по нашим интеграциям с Microsoft — приём данных, лимиты и троттлинг API, маппинг схем Отвечать на сложные вопросы от SOC, CS и Sales — и наставлять тех, кто их задаёт Помогать клиентам понимать, что у них на самом деле покрыто, чего им не хватает и что им даст включение того или иного **Что вы должны принести с собой** Глубокие, актуальные, практические знания стека безопасности Microsoft — Defender XDR (Endpoint, Identity, Office 365, Cloud Apps), Entra ID, Sentinel, Microsoft Graph, а также control и data planes Azure и Microsoft 365 Свободное владение KQL: вы можете писать, читать, оптимизировать и отлаживать нетривиальные hunting-запросы как в Defender Advanced Hunting, так и в Sentinel, и знаете, как и почему эти две схемы различаются Рабочее знание Graph и Graph Security API, Defender и Sentinel API, а также их моделей аутентификации, разрешений, версионирования и троттлинга Сильное понимание поверхности атак на идентичность в Entra ID (и устаревшем Active Directory) — потоки аутентификации, conditional access, согласие OAuth-приложений, кража и повторное использование токенов, гибридная идентичность и синхронизация, злоупотребление привилегированными ролями — и телеметрии, которую каждый из них производит Твёрдое понимание внутренностей Windows и инструментов командной строки, с достаточным знанием macOS и Linux, чтобы не отставать от кросс-платформенного покрытия Defender Опыт написания, развёртывания и настройки кастомных детектов на наборах данных Microsoft, плюс достаточный опыт вне Microsoft (AWS, GCP, другие EDR и SIEM), чтобы сохранять перспективу Владение Python и Sigma, а также реальная беглость в использовании инструментов Anthropic, таких как Claude Code, для работы с системами и данными (локально, через MCP и так далее) 5+ лет в информационных технологиях или security operations, со значительным временем, потраченным на защиту или эксплуатацию сред Microsoft Отличные навыки такта и дипломатии — вы можете объяснить ограничения Microsoft аудитории, которая не хочет о них слышать SC-200, AZ-500 или SC-300 будут плюсом; продемонстрированная глубина значит существенно больше **Место работы** Наша штаб-квартира находится в Херндоне, штат Вирджиния. Однако мы понимаем, что, хотя личное взаимодействие имеет свои преимущества, хорошие люди живут не только в Северной Вирджинии. Для этой роли возможна удалённая работа. **Дополнительные примечания** Диапазон базовой зарплаты для этой роли составляет от $142,900 USD до $207,200 USD + право на бонус и equity. Хотя полный диапазон зарплаты отражает нашу долгосрочную систему компенсации, мы в первую очередь ориентируемся на кандидатов с зарплатой от $160,000 до $192,000 в зависимости от опыта, навыков и рыночных данных. Мы верим в прозрачную и справедливую оплату. Ваша зарплата в конечном итоге будет зависеть от таких факторов, как ваш опыт, навыки, equity команды и рыночные данные. Вы также получите право на неограниченный PTO (который мы моделируем и поощряем), гибкость в месте работы, до 24 недель отпуска по уходу за ребёнком и действительно отличные медицинские льготы. Мы нанимаем только тех, кто имеет право работать в Соединённых Штатах. В настоящее время мы не спонсируем иммиграционные визы. Мы — Equal Opportunity Employer: вы будете рассматриваться для трудоустройства без учёта расы, пола, цвета кожи, религии, сексуальной ориентации, гендерной идентичности, национального происхождения, статуса защищённого ветерана или на основании инвалидности. Мы обеспечим, чтобы лицам с инвалидностью предоставлялись разумные приспособления для участия в процессе подачи заявки или собеседования, выполнения основных должностных функций и получения других льгот и привилегий трудоустройства. Пожалуйста, сообщите нам, если вам нужны какие-либо приспособления. #LI-Remote Диапазон зарплаты $142,900—$207,200 USD Чтобы подать заявку: https://weworkremotely.com/remote-jobs/expel-senior-detection-response-engineer