درباره موقعیت
در این موقعیت، فرضیه‌های تهدید را به منطق شناسایی قابل آزمون تبدیل می‌کنید. کیفیت Detection تنها به اجرای Query محدود نیست؛ پوشش داده، اعتبارسنجی، زمینه کسب‌وکار، نرخ هشدار نادرست و روش رسیدگی نیز باید مشخص باشد.
مسئولیت‌های اصلی
- تحلیل TTPهای مهاجمان و طراحی Use Case بر اساس سناریوی تهدید و MITRE ATT&CK
- توسعه و بهینه‌سازی Correlation Searchها و Detectionهای SPL برای Splunk ES
- تعریف پیش‌نیازهای داده و پایش صحت Mapping به CIM Data Modelها
- تولید داده آزمایشی و اجرای تست مثبت و منفی برای اعتبارسنجی Detection
- تحلیل False Positive/False Negative و تنظیم آستانه و استثناهای مستند
- تعریف Severity، Risk Score، زمینه رویداد، راهنمای Analyst و Playbook مرتبط
- نسخه‌بندی Ruleها و اندازه‌گیری Coverage و اثربخشی عملیاتی
مهارت‌ها و شرایط ضروری
- توانایی قوی در SPL، Aggregation، Join/Stats و تحلیل داده‌های رویدادی
- آشنایی عملی با Windows Event Logs، Sysmon، DNS، Web و Network Telemetry
- شناخت MITRE ATT&CK، Kill Chain و روش‌های شناسایی مبتنی بر رفتار
- مستندسازی فرضیه شناسایی و روش تست آن
امتیازهای تکمیلی
- تجربه Splunk ES، Risk-Based Alerting و tstats/Data Model Acceleration
- آشنایی با Sigma، Python و تست Detection
- تجربه Threat Hunting یا مهندسی محتوای SOC
انتظارات و شاخص‌های عملکرد
- قواعد مستند، تست‌شده و قابل نگهداری
- پوشش روشن تکنیک‌ها و منابع داده
- بهبود نسبت سیگنال به نویز و کیفیت ارجاع به تحلیلگر
هدف ما ارزیابی تجربه و توانمندی مرتبط است. داشتن تمام مهارت‌های ترجیحی الزامی نیست.