Детекты и аналитика SOC, приоритизация событий, LLM в безопасности
Разработчик продуктов для защиты корпоративной инфраструктуры: мониторинг событий, анализ трафика, поиск уязвимостей. ML здесь редко работает автономно — он помогает аналитику центра мониторинга: снижает поток событий, объединяет их в цепочки и подсказывает, с чего начать разбор. Поэтому и метрики измеряются работой аналитика, а не только качеством классификатора.
Порядок и состав секций меняются от команды к команде — это типовая схема, собранная по открытым источникам. Этапы, на которых проверяют знания, ведут в разбор формата: что оценивают и чем закрывать пробелы.
Рекрутер уточняет направление: аналитика событий, работа с трафиком, продуктовые ML-фичи, исследования.
Алгоритмическая секция: структуры данных, сложность, обработка больших потоков записей.
ML-секция: модели на событиях, дисбаланс, метрики, валидация во времени.
Направленческая секция: редкие события, состязательность, стоимость ложной тревоги для аналитика.
Для направлений с языковыми моделями — секция по LLM: помощь в разборе инцидентов, оценка ответов, ограничения.
Команда, задачи, уровень.
4 формата проверки из отбора Positive Technologies — и тест атласа под каждый. Слабые места видно сразу после захода, а темы для разбора собираются автоматически.
Живое кодирование: решение вслух и код в редакторе
На чём валятсяКлассика табличных задач и честная проверка качества
На чём валятсяРедкие события, состязательный противник и цена ложной тревоги
На чём валятсяДообучение, поиск с генерацией, оценка и стоимость
На чём валятся20 тем по всем направлениям Positive Technologies — если команда ещё не выбрана. Программа разложит их по неделям от математики к продакшену; под конкретное направление список короче, и его можно собрать ниже.
Эти 20 тем можно разложить по неделям: программа выстроит их от математики к продакшену, поставит тест в конце каждой недели и вернёт тему на повторение, если вы в ней ошиблись. Выйдет примерно 4 недели под Positive Technologies · Все направления.
Проверяем, вошли ли вы…
Выберите направление: обязательные темы со ссылками в атлас, типовые вопросы с ответами и тест для самопроверки.
Снижение потока событий, объединение в инциденты, приоритизация разбора. Специфика — сотни тысяч событий в сутки, единицы настоящих инцидентов и аналитик как конечный потребитель.
Эти 10 тем можно разложить по неделям: программа выстроит их от математики к продакшену, поставит тест в конце каждой недели и вернёт тему на повторение, если вы в ней ошиблись. Выйдет примерно 2 недели под Positive Technologies · Аналитика событий и приоритизация.
Проверяем, вошли ли вы…
Не точность классификатора, а работа аналитика: доля подтверждённых инцидентов в первых N разобранных событиях и время до обнаружения настоящего инцидента. Модель ранжирует очередь, поэтому метрики @K отражают её пользу точнее, чем средние по всему потоку.
Разбор в атласе: Precision — Точность →Графом связей: общие хосты, учётные записи, адреса, временная близость. Компоненты связности и обнаружение сообществ дают кандидатов на цепочку атаки, а правила и модель оценивают их правдоподобие. Разбор цепочки экономит аналитику больше времени, чем фильтрация отдельных событий.
Разбор в атласе: Community Detection — Поиск сообществ →На вердиктах аналитиков, которые накапливаются в системе, и на слабой разметке от правил, с честным разделением источников при валидации. Дополнительно помогает моделирование атак на стенде: так появляются положительные примеры, которых в реальных логах единицы.
Разбор в атласе: Weak Supervision — Слабая разметка →Показывать основания: какие признаки подняли событие, с чем оно связано, что похожего было раньше и чем закончилось. Плюс обратная связь одним действием: вердикт аналитика возвращается в обучение. Непрозрачная приоритизация в такой роли не приживается независимо от метрик.
Разбор в атласе: SHAP — SHAP →