Senior Research Engineer, Threat Intelligence

Вы присоединитесь к STRIKE, команде Threat Intelligence компании SecurityScorecard, в качестве инженерного партнёра исследователей. STRIKE одновременно ведёт несколько исследовательских направлений, каждое по своему графику: быстрый отклик на активные события, более длительная работа, привязанная к продукту, и исследование, основанное на стандартах, с квартальной периодичностью. Путь от обнаружения до готового к выпуску детектора или потока данных переосмысливается каждый раз. Это проблема, которую данная роль должна решить.

Вы будете работать напрямую с старшим техническим лидером, отвечающим за направление R&D STRIKE, и подчиняться руководителю Threat Research в вопросах управления персоналом. Техническое направление задаёт руководство R&D; вы отвечаете за доставку. Вы возьмёте исследовательский артефакт (обнаружение вредоносного кода, кластер инфраструктуры, новый класс индикаторов, поведенческий шаблон) и превратите его в то, что компания может использовать без второго раунда инженерии: схемы, хуки конвейера, распределительные потоки, правила детекции или API платформы.

Это не чисто исследовательская роль и не чисто платформенная роль. Исследователи генерируют идеи, вы их реализуете.

Research-to-Production Pipeline

• Управлять путём от исследовательского вывода до готового к производству артефакта: правила детекции, распределительный поток, входные данные для оценки или клиентское оповещение. Сотрудничать с соседними командами для определения чётких контрактов передачи, чтобы новые сигналы поступали вниз по цепочке уже с определённой схемой, формулировкой ценности и паттерном потребления.

Threat Intelligence Platform Engineering

• Создавать и поддерживать компоненты платформы STRIKE в нескольких сервисах и средах выполнения, включая серверы распределения, оркестрацию песочниц, ingest‑ы OSINT, конечные точки федеративного обмена, среды выполнения агентов и движки правил, работающие с предикатами, основанными на стандартах. Расширять эти системы без нарушения уже существующих контрактов данных в продакшене.

Detection Content and Signal Production

• Превращать исследования в готовый контент детекции: YARA, Sigma, STIX‑шаблоны, поведенческие индикаторы и конвейеры, которые их распределяют. Строить конвейеры корреляции, связывающие данные сканирования, сигналы поверхности атаки, данные уязвимостей и отслеживание противников в клиент‑ориентированную разведку.

Data Model and Standards Adoption

• Содействовать принятию STIX 2.1 в качестве единой схемы вывода и TAXII 2.1 в качестве стандарта распределения. Определять и управлять схемами, которые остаются надёжными после передачи их командам downstream.

Research Workflow Engineering

• Создавать автоматизацию, устраняющую рутинные накладные расходы из исследовательской работы: обогащение индикаторов, подготовка отчётов, корреляция корпусов, нормализация потоков и триаж в песочнице. Помогать команде переходить от аналитически‑управляемых, поддерживаемых моделями процессов к процессам, управляемым моделями с аналитическим контролем.
• Наиболее важная работа часто состоит из немилой части: извлечение, основанное на собственном корпусе команды, чтобы выводы ссылались на источники, а не на предположения модели; вывод, ограниченный схемой, чтобы сгенерированный индикатор был валидным; и тестовые harness‑ы, ловящие регрессии до того, как их заметят аналитики. Учёт затрат, планирование задержек, версионирование запросов и журналирование вывода завершают инфраструктуру, делающую процесс безопасным для автономного запуска.
• Вы должны чётко понимать, когда модель — неправильный инструмент. Регулярное выражение лучше модели для известных паттернов; SQL‑запрос лучше модели для структурированных данных. Понимание этой границы и её соблюдение — часть работы.

Cross-Functional Delivery

• Координировать работу с инженерными, измерительными и продуктовыми командами платформ, чтобы исследования действительно попадали в продукт. Вы часто будете выступать в роли инженерного голоса, переводящего между исследователями, менеджерами продукта и инженерами платформы, а иногда объяснять работу клиентам, журналистам или руководству.

Education: Бакалавр или магистр в области компьютерных наук, кибербезопасности или смежной технической специальности. Самоучки с сильным публичным портфолио приветствуются.

Experience: 5–8 лет практического инженерного опыта с существенным погружением в threat intelligence, security research или detection engineering. Требуется опыт создания производственных систем, потребляющих или генерирующих данные threat intel.

Технические навыки:

• Python и TypeScript/Node на уровне продакшн
• Реляционные и кэш‑хранилища данных, плюс как минимум одна потоковая или пакетная платформа данных
• Облачная инфраструктура (AWS предпочтительно), контейнеры и CI/CD‑конвейеры
• Практические знания STIX 2.1, TAXII 2.1, MISP и MITRE ATT&CK, а также их совместного применения

Detection and Research Tooling: Практический опыт работы с YARA, Sigma и STIX‑паттернами. Умение читать выводы анализа вредоносного кода, парсить данные инфраструктуры противника и писать правила детекции, выдерживающие нагрузку продакшна.

Applied Language Models: Вы запускали продакшн‑системы, использующие языковые модели, а не только демо‑версии. Это включает поиск по реальному корпусу, структурированный вывод с проверкой схемы, тестовые harness‑ы, ловящие регрессии до того, как их заметят пользователи, и глубокое понимание точек отказа моделей: актуальность, редкие факты, численные рассуждения, а также уязвимости к адверсариальному вводу или подстановке запросов. Вы умеете рассчитывать стоимость задачи для ваших нагрузок и можете аргументировать, когда более маленькая, тщательно сконструированная модель превосходит большую.

Вы подходите к выводу модели с по умолчанию здоровым скептицизмом. Планка для выпуска индикатора или детектора, сгенерированного моделью, выше, чем для регулярного выражения, и вы понимаете почему и проектируете соответственно.

Bridge Mindset: Вы пишете код, который попадает в продакшн, и понимаете, почему исследователи мыслят так, как они мыслят. Если вы работали только с бэклогом, переданным менеджером продукта, эта роль, вероятно, не для вас. Если вы брали идею, набросанную в чате, и превращали её в развернутый конвейер до начала следующего спринта, это именно тот режим, который мы ищем.

• Опыт работы с policy-as-code или движками языков выражений (CEL, OPA или аналогичные)
• Публикации или соавторство исследований в области безопасности (кампании, уязвимости, отслеживание противников)
• Опыт работы с масштабной телеметрией (Splunk, Kinesis, NetFlow или эквивалент)
• Вклад в открытые проекты threat intel (MISP, OpenCTI, Sigma, STIX, ATT&CK) или их поддержка
• Знакомство с количественными рамками оценки рисков, такими как FAIR
• Знание Golang на уровне продакшн

В зависимости от страны мы предлагаем конкурентоспособную зарплату, опционы на акции, медицинские льготы и неограниченный отпуск, декретный отпуск, возмещение расходов на обучение и многое другое!

Оценочный диапазон общей компенсации для этой позиции составляет $140,000 – $180,000 (база плюс бонус). Фактическая компенсация определяется по ряду факторов, включая, но не ограничиваясь, финансовыми возможностями, навыками, квалификацией и опытом, и может отличаться от указанного диапазона. Помимо базовой зарплаты, сотрудники могут также получать ежегодные премии за достижение целей и долю в капитале компании, а также другие корпоративные льготы.

SecurityScorecard привержена принципу равных возможностей трудоустройства и поддерживает разнообразие. Мы считаем, что наша команда усиливается за счёт найма и удержания сотрудников с разным опытом, навыками, идеями и точками зрения. Мы принимаем решения о найме на основе заслуг и не дискриминируем по признаку расы, цвета кожи, религии, национального происхождения, пола или гендерной идентичности (включая беременность), гендерного выражения (включая трансгендерный статус), сексуальной ориентации, возраста, семейного положения, статуса ветерана, инвалидности или любой другой защищённой категории в соответствии с применимым законодательством.

Мы также рассматриваем квалифицированных кандидатов независимо от их уголовного прошлого, в соответствии с применимым законодательством. Мы обязуемся предоставлять разумные условия для квалифицированных лиц с ограниченными возможностями в процессе подачи заявок. Если вам требуется помощь или приспособление из‑за инвалидности, пожалуйста, свяжитесь с talentacquisitionoperations@securityscorecard.io.

Любая информация, которую вы предоставляете SecurityScorecard в рамках заявки, будет обрабатываться в соответствии с политикой конфиденциальности компании и применимым законодательством.

SecurityScorecard не принимает непрошенные резюме от кадровых агентств. Обратите внимание, что мы не предоставляем спонсорство для иммиграции на эту позицию. #LI-DNI