Ведущий SOC-аналитик / Team Lead

Что предстоит делать

<p><strong><br><br>О проекте:<br></strong> <br>Вы построите и возглавите команду SOC с нуля для глобальной SaaS-компании (стадия «единорога», 20+<br>офисов, клиенты из Fortune 500). Команда безопасности заказчика очень сильна, а стек —<br>превосходный. Как первый руководитель SOC (в подчинении 6 аналитиков Tier 2), вы будете совершенствовать существующие<br>процессы реагирования, чтобы внутренняя команда могла сосредоточиться на security engineering.<br>Вы — точка эскалации для своих аналитиков и для команд IT, DevOps и App Security<br>заказчика, и вы отвечаете за круглосуточное покрытие 24/7, KPI SOC и обратную связь с Security Engineering.<br>Это не роль по закрытию тикетов: вы задаёте тон тому, как обрабатываются инциденты.</p><p><strong>Что вы будете делать:</strong></p><ul><li> Руководить командой: управлять аналитиками L2 в повседневной работе (приоритизация, playbooks,<br>эскалации), проводить синки команды и передачи смен, наставлять и онбордить аналитиков</li><li> Отвечать за покрытие 24/7: строить и поддерживать графики смен и дежурств on-call, чтобы<br>SOC всегда был укомплектован</li><li>Отвечать за реагирование на инциденты: вести полный жизненный цикл от триажа до<br>закрытия, координировать события высокой критичности и проводить пост-инцидентные разборы</li><li> Расследовать лично: быть точкой эскалации и работать со сложными алертами вместе с<br>аналитиками, выходя за пределы возможностей Tier 2</li><li>Измерять и отчитываться: отслеживать командную и индивидуальную производительность и результаты по<br>KPI и SLA (MTTA, MTTR, соблюдение SLA, доля ложных срабатываний, бэклог) и<br>отчитываться перед руководством и заказчиком</li><li> Обеспечивать связь с Security Engineering: превращать болевые точки аналитиков (ложные срабатывания, alert<br>fatigue, пробелы в детектировании) в настройку детектирования и предложения по улучшению.</li><li> Чётко коммуницировать: работать с командой безопасности заказчика на техническом и<br>управленческом уровне, с честными статус-апдейтами, в том числе когда что-то неизвестно</li></ul><p><strong>Что вы приносите:<br></strong> <br><strong><em>Жёсткие требования (обязательные):</em></strong></p><ul><li>5+ лет в ролях SOC / реагирования на инциденты, включая предшествующий опыт аналитика<br>Tier 2/3. Не просто мониторинг: реальное владение IR</li><li> 2+ года опыта тимлида или руководителя в SOC, включая ответственность за руководство сменой<br>или наставничество</li><li> Подтверждённый опыт построения и ведения графиков смен 24/7 и дежурств<br>on-call, а также сохранения покрытия на практике</li><li> Подтверждённый опыт владения KPI и SLA SOC (MTTA, MTTR, соблюдение SLA):<br>вы можете показать, как вы измеряли команду и улучшали её</li><li>Опыт руководства или координации команды во время активного инцидента и способность<br>описать это шаг за шагом</li><li> Опыт в области Cloud / AWS security: способность расследовать и реагировать на облачные алерты<br>с первого дня</li><li> Опыт расследований в SaaS</li><li> Практический опыт с SIEM: Splunk (обязательно), со способностью<br>писать и читать запросы SPL. CrowdStrike SIEM — сильный плюс</li><li>EDR: Microsoft Defender и/или CrowdStrike</li><li> Рабочее знание сред как Windows, так и macOS</li><li>Сильные коммуникативные навыки, соединяющие операции SOC и Security Engineering.<br>Интеллектуальная честность: вы говорите «я не знаю», когда не знаете</li></ul><p><em><strong>Сильный плюс:</strong></em></p><ul><li> Платформы идентификации: Okta, Azure AD</li><li>Автоматизация SOAR и threat hunting</li><li> Опыт построения SOC уровня <nobr>4-5</nobr> на основе SOC-CMM</li><li>Передача находок аналитиков в detection engineering (настройка, новые детекции).</li></ul><p><em><strong><br>Красные флаги (то, что здесь не сработает)<br></strong></em></p><ul><li>Только закрытие алертов без владения процессом IR</li><li>Отсутствие опыта владения графиком смен, ротацией on-call или отчётностью по KPI</li><li> Управление со стороны вместо расследования вместе с командой</li><li> Уверенные неверные ответы вместо признанных пробелов</li><li> Неспособность описать координацию команды во время реального инцидента</li></ul><p><strong>Технологический стек:</strong> <br>Splunk · Microsoft Defender · CrowdStrike · Okta · AWS</p><p><strong>Что мы предлагаем:</strong></p><ul><li>Превосходная техническая команда и отличный заказчик с масштабной современной инфраструктурой</li><li>AI повсюду, с возможностью автоматизировать каждый шаг: работайте умнее, а не усерднее</li><li> Реальное владение с первого дня для построения процессов SOC, модели покрытия и KPI</li><li> Прямое сотрудничество со старшей командой безопасности заказчика</li><li>Офис в Варшаве (дневные смены), с гибкой моделью on-call и ночного покрытия, которую вы<br>проектируете вместе со своей командой</li><li> Поддержка релокации</li></ul> <div> <a href="https://jobs.dou.ua/companies/underdefense/vacancies/377788/#reply-btn-id">Откликнуться на вакансию</a> </div>