SIEM Detection engineer (R3) 24697439

De opdracht wordt uitgevoerd bij het team Detection Engineering van het Defensie Cyber Security Centrum (DCSC). De primaire taak is het ontwikkelen, maken en bijhouden van endpoint en SIEM detectie regels. Nauw gerelateerd is de verantwoordelijkheid voor het beheer van Elastic agent policies. Om dit alles in de toekomst beheersbaar te houden is een volgende stap in automatisering en (continue) testen vereist. Deze automatisering is niet alleen technisch ingestoken maar een kritische blik op de huidige manier van werken en dat omzetten in daadwerkelijke ondersteuning bij het effectiever maken van de werkzaamheden is eveneens vereist.

De verwachting is dat de opdrachtnemer zich gedraagt als een onderdeel van het team en zal door DCSC ook zo gepositioneerd worden. Opdrachtnemer dient zich te kunnen inleven en (deels) aanpassen aan team/afdeling processen en procedures. Onderdeel hiervan is het kunnen toelichten van denkwijzes en technische aspecten van het werk. Er dienen diverse doelstellingen bereikt te worden: 1. Verder door ontwikkelen en borgen van het automatisch testen van Elastic SIEM detectie regels, met kennisoverdracht en ondersteuning van het team; gedegen ervaring met automatisch testen van SIEM detectieregels is vereist.

2. Verder door ontwikkelen en borgen van automatische exceptie review voor SIEM detectie regels; gedegen ervaring met exceptie reviews is vereist. 3. Verder door ontwikkelen en borgen van verregaand geautomatiseerd Elastic agent policy beheer; aantoonbare ervaring met leiding/voorstrekker rol in een project, vaardigheid om iteraties in automatisering te definiëren, samenwerking met DevOps en Engineering team, en gedegen ervaring met automatisering o.a. via GitLab pipelines zijn vereist.

4. Ondersteunen bij het bedenken, maken en bijhouden van SIEM detectie regels; aantoonbare ervaring met detection engineering en vaardigheid om regels mondeling toe te lichten zijn vereist. 5. Ondersteunen bij het verder (automatisch) integreren van threat intel in detectie regels, met oog op houdbaarheid; aantoonbare en relevante (ruime) werkervaring hiermee is vereist. Voor bovenstaande geldt dat de opdrachtnemer aantoonbaar ruime ervaring heeft op technisch cybersecuritygebied, specifiek op het gebied van log analyse, detection engineering, MITRE ATT&CK, red teaming, purple teaming, gitlab automatisering en scripting (python).

Vereist is relevante ervaring in een SOC welke gepositioneerd was in omgevingen met gerubriceerde informatie, grote hoeveelheden logdata en zeer divers IT landschap. Let op! Voor deze rol is een VGB-A screening gevraagd! Eerder starten op basis van VOG is mogelijk!

Eisen: kandidaat heeft minimaal 4 jaar aantoonbare werkervaring met het gekozen eCF profiel of soortelijke functie.

Wensen: kandidaat heeft bij voorkeur meer dan aangegeven eis aantoonbare werkervaring met de gevraagde functie binnen het eCF profiel; ervaring met het MagMa framework, Siriusblue, met instructie/les geven (grote pré), aantoonbare ervaring van minimaal een jaar met het automatiseren van detectieregel testing, en aantoonbare ervaring van minimaal drie jaar met offensieve security (bezit van OSCP-certificaat of vergelijkbaar).