Senior Network Forensics & Packet Capture Engineer
Работодатель · Citi
Специалист по кибербезопасностиСетевой инженерГибкийПолнаяБудапешт
Команда Perimeter Reliability Engineering в Citi ищет специалиста на роль Senior Network Forensics & Packet Capture Engineer для проектирования, развертывания и эксплуатации высокопроизводительной инфраструктуры полного перехвата пакетов на глобальном сетевом периметре Citi. Это старшая инженерная роль на стыке сетевой видимости, форензики безопасности и автоматизации платформ.
Задачи
- Проектирование и сопровождение сквозной инфраструктуры полного перехвата пакетов (full-packet capture) на глобальных площадках, включая TAP-агрегационные фабрики, внеполосные сети разгрузки, высокопроизводительные хранилища NVMe/ZFS и кластеры индексации OpenSearch.
- Развертывание, настройка и масштабирование Arkime на уровне предприятия, включая конфигурацию демонов захвата, иерархии фильтров BPF, управление жизненным циклом индексов OpenSearch и кастомизацию Viewer под рабочие процессы SOC-аналитиков.
- Проектирование аппаратно ускоренных решений для перехвата пакетов с использованием SmartNIC, фреймворков обхода ядра (включая DPDK, PF_RING ZC и AF_XDP), а также платформ агрегации TAP для обеспечения высокопроизводительного перехвата без потери пакетов.
- Создание и поддержка Python-автоматизации промышленного уровня для конвейеров архивации PCAP, интеграций с Arkime REST API, управления жизненным циклом OpenSearch и рабочих процессов извлечения пакетов на основе событий.
- Эксплуатация и расширение Zeek для глубокого извлечения метаданных протоколов, разработка пользовательских скриптов Zeek и интеграция результатов в SIEM-платформы и платформы анализа угроз.
- Руководство форензик-анализом первопричин (root cause analysis) для сложных инцидентов сетевой безопасности с применением Wireshark, tshark, tcpdump и логов сессий для реконструирования хронологии атак и активности сессий.
- Интеграция платформ PCAP с конвейерами обнаружения угроз на основе искусственного интеллекта и машинного обучения, включая снятие отпечатков JA3/JA3S TLS и рабочие процессы корреляции «оповещение — пакет» для ускорения обнаружения и расследования.
- Разработка дашбордов Grafana и конвейеров оповещений с помощью Prometheus и InfluxDB для обеспечения видимости в реальном времени показателей захвата, потерь пакетов, потребления хранилища и состояния кластера.
Условия и льготы
Программа CafeteriaКомпенсация расходов на работу из домаДля коллег, работающих в гибридном форматеПрограмма оплачиваемого отпуска по уходу за ребенкомОтпуск по беременности, родам и уходу за ребенкомПрограмма частного медицинского страхованияМедицинские кабинеты непосредственно в наших офисахВзносы в пенсионный фондВзносы в добровольный пенсионный фондГрупповое страхование жизниПрограмма поддержки сотрудниковПрограммы обучения и развитияДоступ к библиотекам онлайн-курсов и платформ повышения квалификации, таких как Udemy и DegreedГибкие условия работыГибридный режим работы с возможностью работать из дома до 2 дней в неделю
Требования
- От 7 лет опыта в инфраструктурной инженерии или инженерии сетевой безопасности, включая минимум 3–4 года на специализированных ролях по перехвату пакетов, сетевой форензике или обеспечению сетевой видимости.
- Экспертный уровень развертывания и эксплуатации Arkime, включая настройку демонов захвата, архитектуру многосайтовых кластеров OpenSearch и масштабное масштабирование платформы.
- Практический опыт инженерии инфраструктуры перехвата пакетов, охватывающий проектирование TAP, SPAN и ERSPAN, архитектуру агрегационных фабрик, внеполосный дизайн сети и многоуровневое хранение данных на базе NVMe и ZFS.
- Уверенное владение Python, в частности для автоматизации жизненного цикла PCAP, создания скриптов Arkime API, конвейеров запросов OpenSearch и разработки инфраструктурного инструментария.
- Экспертный уровень анализа протоколов с помощью Wireshark, tshark и tcpdump, включая создание сложных фильтров и полную реконструкцию сессий.
- Настройка производительности Linux на системном уровне, включая конфигурацию параметров ядра, осведомленность о топологии NUMA, закрепление процессоров (CPU pinning) и оптимизацию очередей NIC.
- Степень бакалавра в соответствующей области или эквивалентный практический опыт; степень магистра будет преимуществом.