ინფორმაციული უსაფრთხ. ინციდენტებზე რეაგირების სპეციალისტი — ნეო ქართული ჯგუფი

"ნეო ქართული ჯგუფი" აცხადებს ვაკანსიას ინფორმაციული უსაფრთხოების ინციდენტებზე რეაგირების სპეციალისტის თანამდებობაზე.

პოზიციის მიზანი:

ინფორმაციული და კიბერუსაფრთხოების კომპლექსური ინციდენტების გამოძიება და მათზე რეაგირება, ინციდენტების აღმოჩენის შესაძლებლობების მუდმივი გაუმჯობესება და ორგანიზაციის ინფრასტრუქტურის კიბერუსაფრთხოების მდგრადობის გაძლიერება

ძირითადი მოვალეობები:

• კომპანიის ქსელში ჩართული სისტემებიდან ლოგების შეგროვებისა და მათი კორელაციის უზრუნველყოფა ცენტრალიზებული უსაფრთხოების ინფორმაციისა და მოვლენების მართვის სისტემაში (SIEM).
• ინფორმაციული უსაფრთხოების ანალიტიკოსებისგან ესკალირებული უსაფრთხოების მოვლენებისა და ინციდენტების გამოძიება, მათი მასშტაბის, გავლენისა და კრიტიკულობის დონის დადგენა.
• ინფორმაციული უსაფრთხოების ინციდენტებზე რეაგირების ტექნიკური პროცესების კოორდინაცია, სათანადო შეზღუდვის, აღმოფხვრისა და აღდგენის გეგმის შემუშავება და რეკომენდაციების გაცემა.
• ინფორმაციული უსაფრთხოების მოვლენების/ინციდენტების სიღრმისეული ანალიზი.
• ინციდენტის ძირეული მიზეზის ანალიზის (RCA - Root Cause Analysis) ჩატარება, მისი განმეორების თავიდან ასაცილებლად საჭირო მაკორექტირებელი და პრევენციული ზომების განსაზღვრა, რეკომენდაცია და დოკუმენტირება.
• SIEM-ში ინციდენტებისა და საფრთხეების აღმოჩენის წესების შექმნა, მათი ეფექტიანობის რეგულარული შემოწმება სხვადასხვა ინციდენტისა და შეტევის სცენარის მოდელირებით, მუდმივი გაუმჯობესება და ცრუ დადებითი შედეგების შემცირება.
• ინციდენტების, threat hunting-ისა და საფრთხის დაზვერვის შედეგად გამოვლენილ ხარვეზებზე დაყრდნობით, დეტექციისა და პრევენციის ახალი ან გაუმჯობესებული მექანიზმების დანერგვის მოთხოვნის ინიციირება.
• ახალი შეტევის ტექნიკებისა და საფრთხეებთან დაკავშირებული ინფორმაციის მუდმივი კვლევა სხვადასხვა წყაროებიდან.
• ინციდენტის შედეგად დაზიანებული სისტემების ციფრული ექსპერტიზა, კომპრომეტირების ინდიკატორებისა (IOC) და შეტევის ვექტორების იდენტიფიცირების მიზნით.
• ჰიპოთეზებზე დაფუძნებული საფრთხეების აქტიური ძიება (threat hunting) შიდა მონაცემებზე, გარე საფრთხის სადაზვერვო წყაროებსა (Threat intelligence) და MITRE ATT&CK-ის ტექნიკებზე დაყრდნობით.
• შეღწევადობის ტესტირების აქტივობების მონიტორინგი, განხორციელებული შეტევების აღმოჩენა და აღმოჩენის წესების გაუმჯობესება გამოვლენილი ხარვეზების საფუძველზე.
• ინციდენტის შემთხვევაში დისკისა და ოპერატიული მეხსიერების (RAM) image-ების აღება და დოკუმენტირება სტანდარტული ინსტრუმენტების გამოყენებით მტკიცებულებების მთლიანობის დაცვის მიზნით.
• ციფრული მტკიცებულებების შეგროვება, შენარჩუნება და დოკუმენტირება საგამოძიებო ან სამართლებრივი პროცესების მხარდასაჭერად, "chain of custody" სტანდარტების დაცვით.
• სისტემური არტეფაქტების ანალიზი, მათ შორის registry hives, event logs, prefetch files და browser history, მომხდარი აქტივობების რეკონსტრუქციის მიზნით.
• მავნე პროგრამების (malware) საწყისი სტატიკური და დინამიკური ანალიზის ჩატარება იზოლირებულ sandbox გარემოში.
• მავნე ფაილების ნიმუშებიდან კომპრომეტირების ინდიკატორების (IOC) ამოღება, მათ შორის file hash-ების, IP მისამართების, domain-ებისა და registry key-ების იდენტიფიცირება.
• ინციდენტის დასრულების შემდეგ lessons learned განხილვაში მონაწილეობა და playbook-ების, რეაგირების პროცედურებისა და აღმოჩენის წესების გაუმჯობესება მიღებული გამოცდილების საფუძველზე.
• ინფორმაციული უსაფრთხოების ანალიტიკოსებისთვის მენტორობისა და ტექნიკური მხარდაჭერის გაწევა, მათ მიერ შესრულებული ანალიზისა და ესკალაციების ხარისხის მიმოხილვა, უკუკავშირის მიწოდება და ცოდნის გაზიარება.
• სერვერების, ქსელური მოწყობილობებისა და საბოლოო სადგურების უსაფრთხო კონფიგურაციის საბაზისო მოთხოვნების შემუშავებაში მონაწილეობის მიღება.
• გამეორებადი აღმოჩენისა და რეაგირების პროცესების ავტომატიზაცია.
• კიბერუსაფრთხოების ინციდენტების შესახებ შეტყობინებებისა და ანგარიშგების მომზადება საქართველოს ეროვნული ბანკის მიერ დადგენილი წესისა და ვადების შესაბამისად.
• დაკავშირებულ გუნდებთან მჭიდრო თანამშრომლობა ინფორმაციული უსაფრთხოების ინციდენტის შეზღუდვისა და დაზიანებული სისტემების დროულად აღდგენის უზრუნველსაყოფად.
• ხელმძღვანელის ინფორმირება არსებული/გავრცელებული აქტუალური შეტევის მეთოდებზე და მოსალოდნელი საფრთხეების ტენდენციებზე, რომლებმაც შესაძლოა ზიანი მიაყენოს კომპანიაში არსებულ სისტემებს.
• შესრულებული სამუშაოების შესახებ სათანადო ანგარიშების მომზადება და ხელმძღვანელისთვის წარდგენა.
• სხვა დაკავშირებული ამოცანების შესრულება.

საკვალიფიკაციო მოთხოვნები:

• მინიმუმ 3 წლის გამოცდილება კიბერუსაფრთხოების მიმართულებით, მათ შორის მინიმუმ 2 წელი SOC-ში, უსაფრთხოების მონიტორინგის ან ინციდენტებზე რეაგირების როლში.
• ქსელური პროტოკოლების, ოპერაციული სისტემების (Windows, Linux) და უსაფრთხოების არქიტექტურის საფუძვლიანი ცოდნა.
• SIEM, EDR/XDR, Threat Intelligence პლატფორმებთან მუშაობის პრაქტიკული გამოცდილება, მათ შორის ლოგების ანალიზი, კორელაცია, ინციდენტების გამოძიება და აღმოჩენის წესების შექმნა/გაუმჯობესება.
• კიბერუსაფრთხოების ინციდენტების ანალიზის, პრიორიტიზაციის, მასშტაბის განსაზღვრისა და რეაგირების რეკომენდაციების მომზადების გამოცდილება.
• MITRE ATT&CK framework-ისა და Cyber Kill Chain მეთოდოლოგიის ცოდნა და მათი პრაქტიკული გამოყენების უნარი ინციდენტების ანალიზისა და საფრთხეების კლასიფიკაციისთვის.
• threat hunting-ის პრაქტიკული გამოცდილება შიდა მონაცემებზე, საფრთხეების სადაზვერვო წყაროებსა და შეტევის ტექნიკებზე დაყრდნობით.
• ციფრული ექსპერტიზის ხელსაწყოებთან მუშაობის გამოცდილება.
• მავნე ფაილების საწყისი სტატიკური და დინამიკური ანალიზის გამოცდილება.
• სასურველია მავნე პროგრამების ანალიზის ან reverse engineering-ის ინსტრუმენტებთან მუშაობის გამოცდილება.
• სასურველია კიბერუსაფრთხოების ხელსაწყოების საბაზისო დონეზე ცოდნა - WAF, DDOS Prevention, DLP, PAM, EDR/XDR, Vulnerability Manager, Database Firewall, Email Protection, SAST, SCA, Threat intelligence, MDM, Posture Management.
• სკრიპტირების შექმნის უნარი განმეორებადი ამოცანების ავტომატიზაციის მიზნით.

უნარები:

• საკითხის გამოკვლევისა და დეტალებზე ფოკუსირების უნარი.
• პრობლემის გადაჭრის უნარი.
• კარგი საკომუნიკაციო უნარები.
• გუნდურად მუშაობის უნარი და თანამშრომლობაზე ორიენტირებულობა.
• გაუმჯობესებისკენ მუდმივი სწრაფვა.
• ანალიტიკური აზროვნების უნარი.
• სისწრაფე და ოპერატიულობა.
• ერთდროულად რამდენიმე საკითხზე მუშაობის უნარი.