+

Ага, а потом падение коннектора/ресивера/движа корреляции гуглишь и решить за время относительно критичное для бизнеса не можешь, потому что не трогал никогда и типовых возникающих проблем не знаешь. Про разные фичи разных сиемов ну я просто молчу, каждый пытается чем то взять и имеет свой небольшой плюсец который реализуется и легкий к пониманию человеком который давно с системой работал и ее ограничения понимает. В ваке так и написано мол человек сугубо под арксайт и его кручение. При чем тут разные размышления про коленочных перплов, не ясно

Просто я знаю что у тех ребят на арксайтиста которого они хотят деньги то есть, поэтому чела слева могут позволить

А ещё до того как у вас все упало вас отымели по полной, потому что специалисты вместо реальной защиты конфиденциальности и целостности занимались доступности сервиса siem. Я не говорю что на качество работы платформы можно забить, но фокус явно должен быть не на этом.

Пол года пытался найти SIEM специалиста, способного не просто разворачивать SIEM и писать правила по описанной для него аналитиком логике работы правила, но и понимающего в атаках/ttp, способного еа базе этих знаний самому придумывать правила. В итоге эта затея не увенчалась успехом. научил l3/l2 аналитиков писать правила. Siem специалисты им помогают правила писать правильно, чтобы не положили SIEM, причем со временем аналитики прибегают к из помощи все меньше и меньше

А у вас что,средствов не хватает?©

Есть SIEM инженеры, которы знают все особенности SIEM, нюансы и тонкости разработки правил с точки зрения перфоманса, а есть аналитики, которые в атаках понимают и знают что искать в логах. Нужны и те и те - без инженеров SIEM будет пердеть/свистеть/помирать от правил аналитиков, а без аналитиков siem будет летать, но в холрстую просто грея воздух. Пока не встречал никого, кто бы эти знания совмещал в себе в одном

А никто не спорит что найти такого веселого кадавра сложно. Если человеку интересно ресерчить варианты атак - он и будет в основном этим и заниматься, сложно ожидать что он будет просто одну и ту же систему сидеть расковыривать монотонно и долго что бы точно во всем разобраться, это ж скучно выглядит, да и в целом не самый веселый момент. Наоборот - то же самое

Про то и речь. Споры о том, кто нужнее: аналитик или инженер, знающий нюансы конкретной системы, бессмысленны. Они как инь и ян друг друга дополняют

Нет логов - чего анализировать то будешь, SOC специалист ты наш, корреляционный движок отказал и все сидишь ты без глазок централизованных по большей части. Чего защищать собрались когда не видно ничего т.к. устойчивость платформы обеспечить не можете - не понятно

Есть SIEM инженеры, которы знают все особенности SIEM, нюансы и тонкости разработки правил с точки зрения перфоманса, а есть аналитики, которые в атаках понимают и знают что искать в логах. Нужны и те и те - без инженеров SIEM будет пердеть/свистеть/помирать от правил аналитиков, а без аналитиков siem будет летать, но в холрстую просто грея воздух. Пока не встречал никого, кто бы эти знания совмещал в себе в одном

Есть человек 10 в стране, включая тебя

А можно мне имена остальных девяти?😁

Что Вы будете с ними делать? Например, Сергей Солдатов, экс-руководитель Теймура

Что Вы будете с ними делать? Например, Сергей Солдатов, экс-руководитель Теймура