Senior SOC Analyst

Stawka do 210 zł/h netto

• Zdalnie / sporadyczne wizyty w Londynie
• Umowa B2B
• Kilkudniowy onboarding w Londynie

Wymagane kompetencje

• Minimum 5 lat praktycznego doświadczenia w SOC, obszarze operacji bezpieczeństwa lub reagowania na incydenty.
• Umiejętność samodzielnego prowadzenia dochodzenia oraz koordynowania działania w odpowiedzi na incydenty o wysokim poziomie krytyczności, gdy SOC Lead jest niedostępny.
• Umiejętność samodzielnego analizowania złożonych incydentów oraz przejrzystego przedstawiania metodyki dochodzenia, hipotez, dowodów, decyzji dotyczących ograniczenia skutków i kolejnych kroków.
• Bardzo dobra znajomość platform SIEM, takich jak Splunk, Microsoft Sentinel lub Sumo Logic.
• Praktyczne doświadczenie z rozwiązaniami EDR, takimi jak CrowdStrike Falcon lub Microsoft Defender.
• Udokumentowane doświadczenie w triage’u oraz reagowaniu na dużą liczbę alertów i incydentów bezpieczeństwa.
• Praktyczna znajomość narzędzi i procesów zarządzania podatnościami, w tym skanowania, priorytetyzacji oraz śledzenia działań naprawczych.
• Dobra znajomość protokołów sieciowych i podstaw sieci, w tym TCP/IP, DNS, HTTP/S, firewalli oraz serwerów proxy.
• Doświadczenie w analizie logów z endpointów, sieci, środowisk chmurowych oraz platform SaaS.
• Znajomość frameworka MITRE ATT&CK i umiejętność wykorzystywania go podczas analiz oraz tworzenia mechanizmów detekcji.
• Doświadczenie w tworzeniu skryptów na potrzeby analiz i automatyzacji: Python, PowerShell lub Bash.
• Silne umiejętności analityczne i rozwiązywania problemów oraz dbałość o szczegóły.
• Bardzo dobre umiejętności komunikacji pisemnej i ustnej, w tym jasne przedstawianie technicznych ustaleń różnym grupom odbiorców.
• Język angielski na poziomie C1.

Mile widziane

• Doświadczenie w ćwiczeniach purple team, red team lub emulacji działań przeciwnika.
• Doświadczenie w threat huntingu opartym na hipotezach lub analizie zachowań.
• Znajomość platform SOAR oraz automatyzacji procesów bezpieczeństwa.
• Doświadczenie z telemetrią bezpieczeństwa w chmurze oraz modelami zagrożeń dla AWS, Azure lub GCP.
• Znajomość platform i procesów threat intelligence, np. MISP, Recorded Future, OpenCTI.
• Wiedza z zakresu narzędzi i technik informatyki śledczej, np. KAPE, Volatility, Velociraptor.

Certyfikaty

Co najmniej jeden z poniższych certyfikatów jest wymagany lub zdecydowanie preferowany:

• CISSP – Certified Information Systems Security Professional.
• GIAC GCIH – GIAC Certified Incident Handler.
• GIAC GCIA – Intrusion Analyst.
• CEH – Certified Ethical Hacker.
• CompTIA CySA+ lub Security+.
• OSCP, GPEN lub podobny certyfikat ukierunkowany na działania ofensywne albo mechanizmy detekcji.

Zakres obowiązków

Stanowisko jest w pełni zdalne i wiąże się z okazjonalnymi podróżami służbowymi. Wymagana jest gotowość do pracy poza standardowymi godzinami oraz w weekendy w ramach dyżurów on-call, wspierających reagowanie na incydenty bezpieczeństwa o wysokim priorytecie.

Monitorowanie bezpieczeństwa i reagowanie na incydenty

• Monitorowanie, triage i analiza alertów bezpieczeństwa z platform SIEM, EDR, NDR oraz środowisk chmurowych, z eskalacją do SOC Lead w razie potrzeby.
• Kompleksowa obsługa incydentów: od wstępnej analizy, przez ograniczanie skutków, usuwanie zagrożeń i przywracanie działania, po dokumentację po incydencie.
• Wykonywanie i współtworzenie playbooków oraz runbooków reagowania na incydenty, identyfikowanie braków i rekomendowanie usprawnień.
• Przeprowadzanie analiz przyczyn źródłowych po incydentach oraz udział w przeglądach po incydentach.
• Tworzenie przejrzystych i rzetelnych raportów z incydentów dla odbiorców technicznych i biznesowych.
• Udział w dyżurach on-call i gotowość do reagowania na incydenty o wysokim priorytecie poza standardowymi godzinami pracy.

Zarządzanie podatnościami

• Przeprowadzanie planowych i doraźnych skanów oraz ocen podatności przy użyciu Tenable, Qualys lub Rapid7.
• Analiza i priorytetyzacja podatności z wykorzystaniem ocen CVSS, danych threat intelligence oraz krytyczności zasobów w celu wsparcia działań naprawczych.
• Monitorowanie postępów działań naprawczych realizowanych przez zespoły IT i inżynieryjne oraz eskalowanie opóźnień.
• Współtworzenie raportów dotyczących podatności, obejmujących trendy, poziom zgodności z aktualizacjami oraz wskaźniki redukcji ryzyka.
• Śledzenie nowo ujawnionych podatności CVE i trendów wykorzystania exploitów oraz doradzanie w zakresie priorytetyzacji opartej na ryzyku.

Purple teaming i wykrywanie zagrożeń

• Udział w ćwiczeniach purple team z zespołami red team w celu weryfikacji skuteczności wykrywania i reagowania.
• Mapowanie technik przeciwników do frameworka MITRE ATT&CK oraz wykorzystywanie wyników ćwiczeń do identyfikacji luk w detekcji.
• Tworzenie i dostrajanie reguł detekcyjnych SIEM, zapytań korelacyjnych oraz alertów na podstawie TTP przeciwników i wyników ćwiczeń purple team.
• Prowadzenie działań threat huntingowych opartych na hipotezach i metodologii zgodnej z MITRE ATT&CK w celu wykrywania niezidentyfikowanych zagrożeń.
• Monitorowanie aktywności grup zagrożeń oraz uwzględnianie ich TTP w logice detekcji i kampaniach threat huntingowych.

Operacje bezpieczeństwa i współpraca

• Analiza logów z endpointów, firewalli, serwerów proxy, platform chmurowych i systemów tożsamości.
• Wzbogacanie dochodzeń o dane threat intelligence, analizę wskaźników kompromitacji (IOC) oraz korelację zdarzeń między źródłami danych.
• Współpraca z zespołami IT i inżynieryjnymi przy dostrajaniu mechanizmów bezpieczeństwa w celu ograniczania liczby fałszywych alarmów i poprawy jakości sygnałów.
• Utrzymywanie aktualnej dokumentacji SOC, w tym runbooków, artykułów bazy wiedzy oraz procedur eskalacyjnych.
• Wspieranie działań związanych ze zgodnością, np. SOC 2, ISO 27001 i NIST CSF, poprzez dostarczanie dowodów i udział w audytach.
• Mentoring młodszych analityków poprzez dzielenie się wiedzą i wsparcie w analizach oraz korzystaniu z narzędzi, bez formalnej odpowiedzialności menedżerskiej.