Senior Research Engineer, Threat Intelligence

Вы присоединитесь к STRIKE, команде Threat Intelligence компании SecurityScorecard, в качестве инженерного партнёра для исследований.

STRIKE ведёт несколько исследовательских направлений параллельно, каждое по своему графику: быстрый отклик на активные события, более длительная работа, привязанная к продукту, и исследование, основанное на стандартах, с квартальной периодичностью.

Путь от обнаружения до готового к выпуску детектора или потока переосмысливается каждый раз.

Именно эту проблему предназначена решать данная роль.

Вы будете работать напрямую с старшим техническим лидером, отвечающим за направление R&D в STRIKE, и подчиняться Head of Threat Research в вопросах управления персоналом. Техническое направление задаётся руководством R&D; вы отвечаете за доставку. Вы возьмёте исследовательский артефакт (обнаружение malware, кластер инфраструктуры, новый класс индикаторов, поведенческий паттерн) и превратите его в то, что компания может использовать без второго раунда инженерии: схемы, хуки конвейера, потоки распределения, правила детекции или API платформы.

Это не чисто исследовательская роль и не чисто платформенная роль. Исследователи генерируют идеи, вы их реализуете.

Research-to-Production Pipeline

• Управляйте путём от результата исследования до готового к продакшн артефакта: правила детекции, распределённый поток, входные данные для оценки или оповещение клиента. Сотрудничайте с соседними командами для определения чётких контрактов передачи, чтобы новые сигналы поступали downstream уже с определёнными схемой, форматом значения и паттерном потребления.

Threat Intelligence Platform Engineering

• Разрабатывайте и поддерживайте компоненты платформы STRIKE в разных сервисах и средах выполнения, включая серверы распределения, оркестрацию sandbox, ingest OSINT, федеративные конечные точки обмена, среды выполнения агентов и движки правил, работающие с предикатами, основанными на стандартах. Расширяйте эти системы, не нарушая уже существующие в продакшн контракты данных.

Detection Content and Signal Production

• Превращайте исследования в готовый к выпуску контент детекции: YARA, Sigma, паттерны STIX, поведенческие индикаторы и конвейеры их распределения. Создавайте конвейеры корреляции, связывающие данные сканирования, сигналы поверхности атаки, данные уязвимостей и отслеживание противников в клиентскую разведку.

Data Model and Standards Adoption

• Содействуйте принятию STIX 2.1 в качестве единой схемы вывода и TAXII 2.1 как стандарта распределения. Определяйте и управляйте схемами, которые остаются надёжными после передачи их командам downstream.

Research Workflow Engineering

• Создавайте автоматизацию, устраняющую рутинные накладные расходы в исследовательской работе: обогащение индикаторов, подготовка отчётов, корреляция корпусов, нормализация потоков и триаж sandbox. Помогайте команде переходить от аналитически‑ориентированных, поддерживаемых моделями процессов к процессам, управляемым моделями с аналитическим ревью.
• Работа, имеющая наибольшее значение, часто является менее гламурной: извлечение, основанное на собственном корпусе команды, чтобы выводы ссылались на источники, а не на предположения модели; вывод, ограниченный схемой, чтобы сгенерированный индикатор был валидным; и тестовые harnesses, которые ловят регрессии до того, как их заметят аналитики. Учёт затрат, планирование задержек, версионирование запросов и логирование вывода завершают инфраструктуру, делающую рабочий процесс безопасным для автономного выполнения.
• Вы должны чётко понимать, когда модель является неподходящим инструментом. Регулярное выражение превосходит модель для известных паттернов; запрос SQL превосходит модель для структурированных данных. Понимание этой границы и её соблюдение — часть работы.

Cross‑Functional Delivery

• Координируйте работу с командами engineering, measurement и platform product, чтобы исследования действительно попадали в продукт. Вы часто будете выступать в роли инженерного голоса, переводящего между исследователями, менеджерами продукта и инженерами платформы, а также иногда объяснять работу клиентам, журналистам или руководству.

Образование: степень бакалавра или магистра в области Computer Science, Cybersecurity или смежной технической области. Самоучки с сильными публичными работами приветствуются.

Опыт: от 5 до 8 лет в практической инженерной роли с существенным взаимодействием с threat intelligence, security research или detection engineering. Требуется предыдущий опыт создания продакшн‑систем, потребляющих или генерирующих данные threat intel.

Технические навыки:

• Python и TypeScript/Node на уровне продакшн
• Реляционные и кэш‑хранилища данных, а также минимум одна потоковая или пакетная платформа данных
• Облачная инфраструктура (предпочтительно AWS), контейнеры и CI/CD конвейеры
• Практические знания STIX 2.1, TAXII 2.1, MISP и MITRE ATT&CK, а также их совместного применения на практике

Инструменты детекции и исследований: Практический опыт работы с YARA, Sigma и STIX Patterning. Умение читать выводы анализа malware, парсить данные инфраструктуры противника и писать логику детекции, выдерживающую продакшн нагрузку.

Прикладные языковые модели: Вы запускали продакшн‑системы, использующие языковые модели, а не только демо. Это включает поиск по реальному корпусу, структурированный вывод с проверкой схемы, тестовые harnesses, ловящие регрессии до их обнаружения пользователями, и глубокое понимание точек отказа моделей: актуальность, редкие факты и враждебный ввод или инъекция подсказок.

Мостовое мышление: Вы пишете код, который поставляется, и понимаете, почему исследователи мыслят так, как они мыслят. Если вы работали только с бэклогом, переданным менеджером продукта, эта позиция, вероятно, не для вас. Если вы взяли идею, набросанную в чате, и превратили её в развернутый конвейер до начала следующего спринта, это тот режим, который мы ищем.

• Опыт работы с policy-as-code или движками expression-language (CEL, OPA или аналогичные)
• Публикация или соавторство исследований в области безопасности (кампании, уязвимости, отслеживание противников)
• Опыт работы с масштабной телеметрией (Splunk, Kinesis, NetFlow или аналогичные решения)
• Участие или поддержка в open-source проектах threat intel (MISP, OpenCTI, Sigma, STIX, ATT&CK)
• Знакомство с количественными рамками оценки риска, такими как FAIR
• Знакомство с Golang на уровне продакшн

В зависимости от страны мы предлагаем конкурентоспособную зарплату, опционы на акции, медицинские льготы, неограниченный отпуск (PTO), отпуск по уходу за ребёнком, возмещение расходов на обучение и многое другое!

Оценочный диапазон общей компенсации для этой позиции составляет $140,00 - $180,000 (база плюс бонус). Фактическая компенсация определяется рядом факторов, включая, но не ограничиваясь, доступностью, навыками, квалификацией и опытом, и может отклоняться от указанного диапазона. Помимо базовой зарплаты, сотрудники могут быть также правомочны на ежегодные премии, основанные на результатах работы, и на акции, среди прочих корпоративных льгот.

SecurityScorecard привержена принципу равных возможностей трудоустройства и поддерживает разнообразие. Мы считаем, что наша команда усиливается за счёт найма и удержания сотрудников с разным происхождением, навыками, идеями и точками зрения. Мы принимаем решения о найме на основе заслуг и не дискриминируем по признаку расы, цвета кожи, религии, национального происхождения, пола или гендера (включая беременность), гендерной идентичности или выражения (включая трансгендерный статус), сексуальной ориентации, возраста, семейного положения, статуса ветерана, инвалидности или любой другой защищённой категории в соответствии с применимым законодательством.

Мы также рассматриваем квалифицированных кандидатов независимо от их уголовного прошлого, в соответствии с применимым законодательством. Мы обязуемся предоставлять разумные условия для квалифицированных лиц с инвалидностью в процессе подачи заявок. Если вам требуется помощь или приспособление из‑за инвалидности, пожалуйста, свяжитесь с talentacquisitionoperations@securityscorecard.io.

Любая информация, которую вы предоставляете SecurityScorecard в рамках заявки, будет обрабатываться в соответствии с политикой конфиденциальности компании и применимым законодательством.

SecurityScorecard не принимает незапрошенные резюме от кадровых агентств. Обратите внимание, что мы не предоставляем иммиграционное спонсорство для этой позиции. #LI-DNI