От федеральных SOC до Talos: Райан Феттерман о практических исследованиях в безопасности

Переход из государственного сектора в коммерческие исследования угроз — путь, который требует не только технических навыков, но и глубокого понимания того, как злоумышленники адаптируются к защите. Райан Феттерман, недавно присоединившийся к команде Cisco Talos, поделился своим опытом с Эми Чиминнизи, осветив как технические вызовы detection engineering, так и вопросы профессионального развития в отрасли.

Подробности

Карьера Феттермана в сфере безопасности насчитывает около 15 лет. Значительная ее часть прошла в районе Вашингтона (округ Колумбия), где он начинал с консалтинга, а затем перешел в исследования. Работа в федеральных агентствах и государственном консалтинге дала ему первый опыт реальных security operations — именно это направление он в итоге сделал основным. Ключевым моментом стало знакомство с Splunk: запросы к большим объемам лог-данных, построение визуализаций и аналитики. По словам Феттермана, это был первый случай в карьере, когда он почувствовал естественную склонность к этому направлению. Впоследствии он присоединился к исследовательской команде Splunk SURGe, а после приобретения Splunk компанией Cisco был реорганизован в Talos. Одним из наиболее запомнившихся инцидентов стал первый случай работы с APT-атакой — кампания, известная как Pandora Song (по имени используемого C2). Находясь в федеральном SOC, Феттерман занимался одними из первых host-based аналитик — направление, которое сегодня составляет основу значительной части detection engineering. Работая с host-based сенсорами и создавая аналитику в Splunk, он исследовал детали инцидента, о котором команду уведомила третья сторона. Феттерман также отметил важность подхода к построению карьеры: по его мнению, спешка в поиске специализации — распространенная ошибка новичков. Вместо этого он рекомендует project-based learning и напоминает о необходимости находить время для отдыха от клавиатуры, чтобы избежать выгорания.

Что делать

Хотя материал представляет собой интервью, а не отчет об уязвимости, из опыта Феттермана можно извлечь практические рекомендации для специалистов по безопасности: - Не торопитесь с выбором узкой специализации — дайте себе время познакомиться с разными направлениями, включая security operations и аналитику логов. - Осваивайте инструменты через реальные проекты (project-based learning), а не только через теорию. - Уделяйте внимание host-based аналитике — она остается фундаментом современного detection engineering. - Планируйте время для отключения от работы, чтобы сохранять устойчивость в долгосрочной перспективе. Итог: история Феттермана показывает, что карьера в кибербезопасности строится на постепенном накоплении практического опыта и осознанном балансе между технической глубиной и заботой о собственном ресурсе.

Источник: Cisco Talos Intelligence