Senior Network Forensics & Packet Capture Engineer
Роботодавець · Citi
Фахівець з кібербезпекиМережевий інженерГнучкийПовнаБудапешт
Команда Perimeter Reliability Engineering у Citi шукає спеціаліста на посаду Senior Network Forensics & Packet Capture Engineer для проєктування, розгортання та експлуатації високопродуктивної інфраструктури повного перехоплення пакетів на глобальному мережевому периметрі Citi. Це старша інженерна роль на перетині мережевої видимості, форензіки безпеки та автоматизації платформ.
Завдання
- Проєктування та супровід повної інфраструктури захоплення повних пакетів даних (full-packet capture) у глобальних локаціях, що включає TAP-агрегаційні фабрики, позасмугові мережі розвантаження, високопродуктивні сховища NVMe/ZFS та кластери індексації OpenSearch.
- Розгортання, налаштування та масштабування Arkime на рівні підприємства, зокрема конфігурація демон-процесів захоплення, ієрархії фільтрів BPF, керування життєвим циклом індексів OpenSearch та кастомізація Viewer під робочі процеси SOC-аналітиків.
- Проєктування апаратно прискорених рішень для захоплення пакетів з використанням SmartNIC, фреймворків обходу ядра (включно з DPDK, PF_RING ZC та AF_XDP), а також платформ агрегації TAP для забезпечення високопродуктивного захоплення без втрати пакетів.
- Створення та підтримка Python-автоматизації промислового рівня для конвеєрів архівації PCAP, інтеграцій з Arkime REST API, керування життєвим циклом OpenSearch та робочих процесів вилучення пакетів на основі подій.
- Експлуатація та розширення Zeek для глибокого вилучення метаданих протоколів, розробка власних скриптів Zeek та інтеграція результатів у SIEM-платформи та платформи аналізу загроз.
- Керівництво форензік-аналізом першопричин (root cause analysis) для складних інцидентів мережевої безпеки із застосуванням Wireshark, tshark, tcpdump та логів сесій для реконструювання хронології атак і активності сесій.
- Інтеграція платформ PCAP з конвеєрами виявлення загроз на основі штучного інтелекту та машинного навчання, включаючи зняття відбитків JA3/JA3S TLS та робочі процеси кореляції «сповіщення — пакет» для прискорення виявлення та розслідування.
- Розробка панелей приладів Grafana та конвеєрів сповіщень за допомогою Prometheus та InfluxDB для забезпечення видимості в реальному часі показників захоплення, втрат пакетів, споживання сховища та стану кластера.
Умови та пільги
Програма CafeteriaКомпенсація витрат на роботу вдомаДля колег, які працюють у гібридному форматіПрограма оплачуваної батьківської відпусткиВідпустка у зв'язку з вагітністю, пологами та доглядом за дитиноюПрограма приватного медичного страхуванняМедичні кабінети безпосередньо в наших офісахВнески до пенсійного фондуВнески до добровільного пенсійного фондуГрупове страхування життяПрограма підтримки співробітниківПрограми навчання та розвиткуДоступ до бібліотек онлайн-курсів та платформ підвищення кваліфікації, таких як Udemy та DegreedГнучкі умови роботиГібридний режим роботи з можливістю працювати вдома до 2 днів на тиждень
Вимоги
- Від 7 років досвіду в інфраструктурній інженерії або інженерії мережевої безпеки, зокрема щонайменше 3–4 роки на спеціалізованих ролях із захоплення пакетів, мережевої форензіки чи забезпечення мережевої видимості.
- Експертний рівень розгортання та експлуатації Arkime, включаючи налаштування демонів захоплення, архітектуру багатосайтових кластерів OpenSearch та масштабне масштабування платформи.
- Практичний досвід інженерії інфраструктури захоплення пакетів, що охоплює проєктування TAP, SPAN і ERSPAN, архітектуру агрегаційних фабрик, позасмуговий дизайн мережі та багаторівневе зберігання даних на базі NVMe і ZFS.
- Впевнене володіння Python, зокрема для автоматизації життєвого циклу PCAP, створення скриптів Arkime API, конвеєрів запитів OpenSearch та розробки інфраструктурного інструментарію.
- Експертний рівень аналізу протоколів за допомогою Wireshark, tshark і tcpdump, включно зі створенням складних фільтрів та повною реконструкцією сесій.
- Налаштування продуктивності Linux на системному рівні, зокрема конфігурація параметрів ядра, обізнаність про топологію NUMA, закріплення процесорів (CPU pinning) та оптимізація черг NIC.
- Ступінь бакалавра у відповідній галузі або еквівалентний практичний досвід; ступінь магістра буде перевагою.