SOC Analyst - Junior / Middle (L1 / L2)

Должностные обязанности

• Осуществлять непрерывный мониторинг и анализ событий и оповещений информационной безопасности (Security Events / Alerts), используя данные SIEM, EDR/XDR, NGFW, WAF, Email Security и других систем защиты и мониторинга.
• Проводить первичную оценку (Triage), классификацию и приоритизацию событий безопасности, отличая ложноположительные срабатывания (False Positive) от потенциальных или подтвержденных инцидентов информационной безопасности.
• Эскалировать подтвержденные, подозрительные или высокорисковые события и инциденты безопасности в соответствии с установленными процедурами и плейбуками (Playbook/Runbook).
• Анализировать журналы событий (логи) и другие технические данные Windows, Linux, Active Directory, сетевых систем, конечных устройств (Endpoint) и систем информационной безопасности для выявления подозрительной или вредоносной активности.
• Проводить расследование оповещений и инцидентов безопасности (Investigation), определяя источник и хронологию событий, возможный вектор атаки, масштаб воздействия (Scope), а также задействованные системы, устройства и учетные записи пользователей.
• Анализировать данные EDR/XDR, включая Process Tree, Command Line, File Activity, Network Connections, Registry Activity и другие данные телеметрии конечных устройств (Endpoint Telemetry), для выявления потенциально вредоносных действий.
• Проверять, анализировать и обогащать (Enrichment) подозрительные индикаторы и артефакты, включая IP-адреса, домены, URL, хеши файлов, процессы, учетные записи пользователей, хосты и другие индикаторы компрометации (IOC).
• Анализировать подозрительные, фишинговые и заблокированные системами безопасности электронные письма, включая сведения об отправителе, заголовки писем (Email Header), URL, вложения, репутационные данные и другую соответствующую информацию.
• Проверять электронные письма, заблокированные системами Email Security или помещенные в карантин (Quarantine), и при отсутствии рисков безопасности разрешать их доставку или выполнять выпуск из карантина (Release) в соответствии с установленными процедурами.
• Сопоставлять выявленные действия, тактики и техники атак с фреймворком MITRE ATT&CK для оценки хода атаки и возможных последующих действий злоумышленника.
• Участвовать в реагировании на инциденты информационной безопасности (Incident Response), включая этапы Identification, Analysis, Containment, Eradication и Recovery, в рамках установленных процедур и предоставленных полномочий.
• Документировать ход расследования событий и инцидентов безопасности, выявленные факты, предпринятые действия и результаты в соответствующих системах управления заявками и инцидентами (Ticket / Incident Management).
• Подготавливать технические отчеты об инцидентах и участвовать в сборе и анализе основных показателей SOC, включая MTTD, MTTR, статистику оповещений и инцидентов и другие метрики.
• Развитие систем мониторинга и обнаружения угроз (Security Monitoring & Detection)
• Участвовать во внедрении, настройке, интеграции, администрировании и постоянном совершенствовании решений для мониторинга и обнаружения угроз, включая SIEM, EDR/XDR, IDS/IPS, Network Security Monitoring и другие системы мониторинга безопасности.
• Участвовать в проектировании, подключении и внедрении новых источников мониторинга, включая подключение источников логов (Log Source Onboarding), сбор логов (Log Collection), их разбор и нормализацию (Parsing/Normalization), корреляцию, настройку оповещений (Alerting) и соответствующих механизмов хранения данных.
• Разрабатывать, настраивать, тестировать и совершенствовать правила обнаружения SIEM (Detection Rules), корреляционные правила (Correlation Rules), сценарии обнаружения (Use Cases), логику оповещений (Alerting Logic), декодеры/парсеры (Decoders/Parsers) и дашборды, обеспечивая их эффективность и соответствие требованиям мониторинга.
• Участвовать в разработке и внедрении новых сценариев обнаружения (Detection Use Cases) на основе техник MITRE ATT&CK, выявленных угроз и рисков, характерных для инфраструктуры Банка.
• Разрабатывать и совершенствовать плейбуки и инструкции SOC (Playbook/Runbook) для обнаружения, анализа, эскалации и реагирования на различные события и инциденты безопасности.
• Участвовать в проектировании, разработке, тестировании и внедрении новых инструментов мониторинга безопасности, интеграций, автоматизированных процессов и внутренних решений.
• Участвовать в снижении количества ложноположительных срабатываний (False Positive), расширении охвата обнаружения угроз (Detection Coverage) и постоянном совершенствовании возможностей SOC по обнаружению угроз и реагированию на них.
• Участвовать в Threat Hunting — проактивном поиске потенциально необнаруженной или подозрительной активности.
• Участвовать в учениях Purple Team / Adversary Simulation совместно с командами Security Testing / Penetration Testing и другими профильными подразделениями для оценки и совершенствования возможностей обнаружения угроз и реагирования на них.

Операционные функции информационной безопасности

• Выполнять операции по предоставлению, изменению и прекращению доступа к информационным системам и ресурсам в соответствии с утвержденными заявками, установленными полномочиями и процедурами контроля доступа (Access Control).
• Проверять соответствие заявок на предоставление доступа установленным требованиям и согласованиям, при необходимости обеспечивая их исполнение или передачу ответственному подразделению.
• Участвовать в периодическом пересмотре и контроле прав доступа и привилегий пользователей (Access Rights / Privileges).
• Выполнять операционные задачи, связанные с системами Email Security, включая проверку заблокированных или помещенных в карантин сообщений, анализ ложноположительных срабатываний и выпуск разрешенных сообщений в соответствии с установленными процедурами.
• Обрабатывать другие операционные запросы по информационной безопасности (Security Requests), поступающие от систем информационной безопасности и пользователей, в рамках установленных процедур, SLA и предоставленных полномочий.
• Документировать выполненные операционные действия и обеспечивать их прослеживаемость (Traceability) в соответствующих системах управления заявками (Ticket / Request Management).
• Взаимодействовать с подразделениями Банка по вопросам расследования и реагирования на инциденты, развития систем мониторинга и выполнения операционных процессов информационной безопасности.
• Следить за актуальными киберугрозами, техниками атак, уязвимостями, IOC и TTP, применяя полученные знания в процессах SOC Monitoring, Detection и Incident Response.
• Требования к образованию и навыкам
• Для уровня Junior (L1) наличие коммерческого опыта работы не является обязательным при условии наличия соответствующих технических знаний и практических навыков, полученных в ходе обучения, работы с Home Lab, участия в CTF, стажировок или другой практической деятельности.
• Для уровня Middle (L2) предпочтителен опыт работы не менее 2 лет в SOC, Security Monitoring, Incident Response или смежной области.
• Высшее образование или эквивалентный профессиональный опыт в области информационной безопасности, кибербезопасности, информационных технологий, компьютерных наук или смежной сфере.
• Знание основных принципов информационной безопасности, распространенных киберугроз и основных техник атак.
• Хорошее знание TCP/IP, DNS, HTTP/HTTPS, TLS, SMTP, DHCP и других основных сетевых протоколов и принципов сетевого взаимодействия.
• Знание принципов работы операционных систем Windows и Linux и основных механизмов их защиты.
• Общее понимание архитектуры и принципов работы Active Directory, механизмов аутентификации и авторизации (Authentication/Authorization), пользователей и групп (User/Group), групповых политик (Group Policy) и основных событий безопасности.
• Навыки чтения и первичного анализа Windows Event Logs, Linux Logs, Firewall/Network Logs, Authentication Logs и других журналов событий безопасности.
• Знание основных принципов работы SIEM, включая Log Collection, Parsing/Normalization, Correlation, Detection Rules, Use Cases и Alerting.
• Общее понимание принципов работы EDR/XDR и основных механизмов обнаружения угроз и реагирования на них на конечных устройствах (Endpoint Detection/Response).
• Знание назначения и основных принципов работы NGFW, IDS/IPS, WAF, Email Security, Antivirus/Endpoint Security и других защитных систем.
• Знание основных принципов контроля доступа: Least Privilege, Need-to-Know, Authentication и Authorization.
• Понимание понятий IOC (Indicators of Compromise) и TTP (Tactics, Techniques and Procedures), а также принципов их применения в процессах SOC и Incident Response.
• Общее знание фреймворка MITRE ATT&CK, включая понятия Tactics, Techniques и Procedures.
• Понимание основных этапов реагирования на инциденты (Incident Response): Identification, Analysis, Containment, Eradication и Recovery.
• Способность проводить первичный анализ фишинговых писем, подозрительных URL, файлов и других распространенных угроз.
• Аналитическое мышление и способность сопоставлять технические данные из различных источников и выявлять причинно-следственные связи между событиями.
• Способность четко документировать события и инциденты безопасности, а также предпринятые действия.
• Знание английского языка на уровне, достаточном для чтения технической документации, оповещений безопасности (Security Alerts), данных Threat Intelligence, рекомендаций по безопасности (Security Advisory) и других профессиональных материалов.
• Ответственность, внимательность к деталям, дисциплинированность, способность работать в стрессовых ситуациях и следовать установленным процедурам.
• Готовность работать по сменному графику в режиме 24/7.

Будет преимуществом

• Практический опыт работы в SOC, Incident Response, Blue Team, системном или сетевом администрировании.
• Опыт работы с SIEM-системами.
• Опыт установки, первоначальной настройки, администрирования и устранения неисправностей SIEM-систем и решений Security Monitoring.
• Опыт создания и настройки Detection/Correlation Rules, Decoders/Parsers, нормализации логов (Log Normalization) и сценариев обнаружения (Use Cases) в SIEM-системах.
• Опыт интеграции и подключения новых источников логов (Log Source Onboarding), включая Syslog, Windows Event Forwarding, сбор данных с помощью агентов/API и другие механизмы.
• Опыт работы с SPL, KQL, Lucene / OpenSearch Query DSL или другими языками запросов SIEM/Search.
• Опыт работы с решениями EDR/XDR/Endpoint Security.
• Опыт анализа логов и событий безопасности из сетевых систем (NGFW), систем защиты приложений (WAF), Email Security и Privileged Access Management.
• Опыт анализа Windows Event ID, Sysmon, журналов PowerShell и событий безопасности Active Directory.
• Опыт расследования фишинга, вредоносного ПО, атак методом перебора паролей (Brute Force), Password Spraying, подозрительной активности PowerShell, получения учетных данных (Credential Access), закрепления в системе (Persistence), повышения привилегий (Privilege Escalation) и горизонтального перемещения в сети (Lateral Movement).
• Опыт работы с источниками и платформами Threat Intelligence, а также инструментами обогащения IOC (IOC Enrichment).
• Опыт анализа сетевого трафика (Network Traffic Analysis) и использования Wireshark / tcpdump.
• Знание основ анализа вредоносного ПО (Malware Analysis) или цифровой криминалистики (Digital Forensics).
• Опыт участия в Threat Hunting, Detection Engineering или мероприятиях Purple Team.
• Опыт интеграции и автоматизации решений Security Monitoring с использованием API, Webhook, Syslog и других механизмов интеграции.
• Базовое знание хотя бы одного из языков Python, PowerShell или Bash и способность понимать, изменять или создавать простые скрипты для автоматизации SOC Monitoring, обработки логов, обогащения IOC или процессов Incident Response.
• Опыт работы с событиями безопасности Active Directory / Entra ID, Microsoft 365 / Exchange Online или аналогичных систем управления идентификацией и облачных сервисов.
• Опыт работы в банковской, финансовой или другой регулируемой отрасли либо в сфере критической инфраструктуры.
• Наличие профессиональных сертификатов, таких как CompTIA Security+, CySA+, Blue Team Level 1 (BTL1), Microsoft SC-200, CCD, HTB CDSA или эквивалентных. Для уровня Middle дополнительным преимуществом будут продвинутые сертификаты GCIH, GCIA или аналогичные.
• Практическое обучение и развитие навыков на специализированных платформах Hack The Box, TryHackMe, LetsDefend, CyberDefenders, Blue Team Labs Online, Microsoft Learn, Cisco Networking Academy или аналогичных ресурсах. Выполненные лабораторные работы, задания, CTF, проекты Home Lab и другие практические результаты будут считаться дополнительным преимуществом.

Что мы ожидаем от кандидата

• Практический интерес к направлениям Blue Team, SOC, Threat Detection и Incident Response, способность понимать причинно-следственные связи между событиями безопасности, сопоставлять данные из различных источников и отличать реальные угрозы от обычных или ложноположительных событий.
• Работа не ограничивается мониторингом готовых оповещений безопасности. Специалист также будет участвовать в развитии систем Security Monitoring и Detection: от подключения и интеграции новых источников логов до создания и совершенствования Detection Rules, Correlation Logic, Dashboards, Playbook и автоматизированных процессов.
• От кандидата уровня Junior (L1) ожидаются хорошая техническая база, готовность учиться, внимательность и способность работать в соответствии с установленными Playbook/Runbook и процедурами. При отсутствии опыта работы в SOC могут рассматриваться кандидаты, способные продемонстрировать соответствующие практические знания и навыки.
• От специалиста уровня Middle (L2) ожидается способность самостоятельно расследовать события и инциденты безопасности, оценивать их последствия и масштаб (Scope), а также принимать обоснованные решения о необходимости эскалации и реагирования. Также предполагаются самостоятельная настройка и развитие систем Security Monitoring, интеграция новых источников логов, создание Detection Use Cases и непрерывное совершенствование возможностей SOC по обнаружению угроз и реагированию на них.
• В рамках должности также предусмотрено выполнение повседневных операционных функций информационной безопасности, включая предоставление и изменение прав доступа, проверку безопасности заблокированных электронных писем и разрешение их доставки, а также обработку других соответствующих запросов по информационной безопасности.

Сроки приема заявок

Начало: 2 сентября 2026 года

Окончание: 15 октября 2026 года