Senior Research Engineer, Threat Intelligence

Вы присоединитесь к STRIKE, команде Threat Intelligence компании SecurityScorecard, в качестве инженерного партнёра для исследований. STRIKE одновременно ведёт несколько исследовательских направлений, каждое в своём ритме: быстрый отклик на активные события, более длительная работа, связанная с продуктом, и исследование, основанное на стандартах, с квартальной периодичностью. Путь от обнаружения до готового к выпуску детектора или потока данных переосмысливается каждый раз. Это проблема, которую данная роль должна решить.

Вы будете работать напрямую с старшим техническим лидером, отвечающим за направление R&D STRIKE, и подчиняться руководителю Threat Research в вопросах управления персоналом. Техническое направление задаёт руководство R&D; вы отвечаете за доставку. Вы берёте исследовательский артефакт (обнаружение вредоносного кода, кластер инфраструктуры, новый класс индикаторов, поведенческий шаблон) и превращаете его в то, что компания может использовать без второго раунда инженерии: схемы, коннекторы конвейеров, распределительные потоки, правила детекции или API платформы.

Это не чисто исследовательская роль и не чисто платформенная роль. Исследователи генерируют идеи, вы их реализуете.

• Владеть процессом от исследовательского вывода до готового к производству артефакта: правила детекции, распределительный поток, входные данные для оценки или клиентское оповещение. Сотрудничать с соседними командами для определения чётких контрактов передачи, чтобы новые сигналы поступали вниз по цепочке уже с определённой схемой, формулировкой ценности и паттерном потребления.

• Разрабатывать и поддерживать компоненты платформы STRIKE в нескольких сервисах и средах выполнения, включая серверы распределения, оркестрацию песочниц, сбор OSINT, федеративные конечные точки обмена, среды выполнения агентов и движки правил, работающие с предикатами, основанными на стандартах. Расширять эти системы без нарушения уже существующих контрактов данных в продакшене.

• Превращать исследования в готовый контент детекции: YARA, Sigma, STIX‑шаблоны, поведенческие индикаторы и конвейеры их распределения. Строить конвейеры корреляции, связывающие данные сканирования, сигналы поверхности атаки, данные уязвимостей и отслеживание противников в клиентскую разведку.

• Продвигать принятие STIX 2.1 в качестве единой схемы вывода и TAXII 2.1 в качестве стандарта распределения. Определять и управлять схемами, которые остаются надёжными после передачи в downstream‑команды.

• Создавать автоматизацию, устраняющую рутинные накладные расходы исследовательской работы: обогащение индикаторов, подготовка отчётов, корреляция корпусов, нормализация потоков и триаж в песочнице. Помогать команде переходить от аналитически‑управляемых, модель‑поддерживаемых рабочих процессов к полностью модель‑управляемым процессам с аналитическим контролем.

• Координировать работу с инженерными, измерительными и продуктовыми командами платформы, чтобы исследования действительно попадали в продукт. Вы часто будете выступать в роли инженерного голоса, переводящего между исследователями, менеджерами продукта и инженерами платформы, а также иногда объяснять работу клиентам, журналистам или руководству.

Образование: степень бакалавра или магистра в области компьютерных наук, кибербезопасности или смежной технической области. Самоучки с сильными публичными работами приветствуются.

Опыт: от 5 до 8 лет в практической инженерной роли с существенным опытом в области threat intelligence, security research или detection engineering. Требуется опыт создания производственных систем, потребляющих или генерирующих данные threat intel.

Технические навыки:

• Python и TypeScript/Node на уровне продакшена
• Реляционные и кэш‑хранилища данных, а также как минимум одна потоковая или пакетная платформа данных
• Облачная инфраструктура (предпочтительно AWS), контейнеры и CI/CD‑конвейеры
• Практические знания STIX 2.1, TAXII 2.1, MISP и MITRE ATT&CK, а также их совместного применения

Инструменты детекции и исследований: практический опыт работы с YARA, Sigma и STIX‑Patterning. Умение читать выводы анализа вредоносного кода, парсить данные инфраструктуры противника и писать правила детекции, выдерживающие нагрузку продакшена.

Применённые языковые модели: вы запускали продакшен‑системы, использующие языковые модели, а не только демо‑версии. Это включает поиск по реальному корпусу, структурированный вывод с проверкой схемы, тестовые наборы, ловящие регрессии до их появления у пользователей, и глубокое понимание точек отказа моделей: актуальность, редкие факты, враждебный ввод или инъекция подсказок.

• Опыт работы с policy‑as‑code или движками выражений (CEL, OPA или аналогичные)
• Публикации или соавторство в области исследований безопасности (кампании, уязвимости, отслеживание противников)
• Опыт работы с масштабной телеметрией (Splunk, Kinesis, NetFlow или эквивалент)
• Вклад или поддержка в open‑source проектах threat intel (MISP, OpenCTI, Sigma, STIX, ATT&CK)
• Знакомство с количественными рамками оценки риска, такими как FAIR
• Знакомство с Golang на уровне продакшена

В зависимости от страны мы предлагаем конкурентоспособную зарплату, опционы, медицинские льготы и неограниченный PTO, отпуск по уходу за ребёнком, возмещение расходов на обучение и многое другое!

Оценочный диапазон общей компенсации для этой позиции составляет $140,00 – $180,000 (база плюс бонус). Фактическая компенсация определяется рядом факторов, включая, но не ограничиваясь, доступностью, навыками, квалификацией и опытом, и может отличаться от указанного диапазона. Помимо базовой зарплаты, сотрудники могут также получать ежегодные премии, основанные на результатах, и акции, среди прочих корпоративных льгот.

SecurityScorecard привержена принципу равных возможностей трудоустройства и поддерживает разнообразие. Мы считаем, что наша команда усиливается за счёт найма и удержания сотрудников с разным опытом, навыками, идеями и точками зрения. Мы принимаем решения о найме на основе заслуг и не дискриминируем по признаку расы, цвета кожи, религии, национального происхождения, пола или гендера (включая беременность), гендерной идентичности или выражения (включая трансгендерный статус), сексуальной ориентации, возраста, семейного положения, статуса ветерана, инвалидности или любой другой защищённой категории в соответствии с применимым законодательством.

Мы также рассматриваем квалифицированных кандидатов независимо от их криминального прошлого, в соответствии с применимым законодательством. Мы обязуемся предоставлять разумные условия для квалифицированных лиц с ограниченными возможностями в процессе подачи заявок. Если вам нужна помощь или условия из‑за инвалидности, пожалуйста, свяжитесь с talentacquisitionoperations@securityscorecard.io.

Любая информация, которую вы предоставляете SecurityScorecard в рамках вашего заявления, будет обрабатываться в соответствии с политикой конфиденциальности компании и применимым законодательством.

SecurityScorecard не принимает непрошенные резюме от кадровых агентств. Обратите внимание, что мы не предоставляем иммиграционное спонсорство для этой позиции. #LI-DNI