مدير هندسة الأمن والكشف

Blackford Technologies

مدير هندسة الأمن والكشف مسؤول عن امتلاك وقيادة استراتيجية هندسة الكشف ومنصة الأمان عبر بيئة MSSP متعددة المستأجرين ومتعددة SIEM.

تتحكم هذه الوظيفة في بنية الكشف، وتغطية ATT&CK، وتوافق المنصة، وعزل المستأجرين، وهندسة التكلفة، وضمان الجودة وإدارة الأتمتة عبر بيئة أدوات هجينة.

1. استراتيجية الكشف والهندسة

• تحديد وصيانة خارطة طريق هندسة الكشف لمدة 12-24 شهرًا.
• امتلاك استراتيجية الكشف المتوافقة مع الخصوم المرتبطة بمخطط MITRE ATT&CK.
• تحديد أهداف نضج الكشف لكل منصة ومستوى خدمة.
• الحفاظ على نموذج تجريدي مركزي لمحتوى الكشف (مثل Sigma/internal DSL).
• إدارة دورة حياة الكشف: تصميم، تحقق، نشر، ضبط، تقاعد.
• منع انتشار الكشف والتكرار عبر المنصات.

2. إدارة تغطية MITRE ATT&CK

• الحفاظ على مصفوفة تغطية ATT&CK الرسمية.
• تتبع والإبلاغ عن نسبة التغطية حسب التكتيك والتقنية.
• إجراء تحليل فجوات التغطية ربع السنوي.
• التحقق من تغطية الكشف من خلال محاكاة وتمارين تقليد الخصوم.
• إنتاج تقارير تغطية ATT&CK للقيادة التنفيذية ووظائف التدقيق.

3. إدارة الكشف متعدد المستأجرين

• تحديد نماذج وراثة الكشف والنمذجة الأساسية عبر المستأجرين.
• إدارة ضبط مستوى المستأجر مع الحفاظ على الاتساق الهندسي.
• فرض عزلة صارمة للقواعد عبر المستأجرين وضوابط نطاق البيانات.
• الحفاظ على ضوابط التوجيه التي تحتوي على بيانات التعريف فقط حيثما كان مطلوبًا لنماذج السيادة.
• منع تلوث تكوين المستأجرين المتداخل.
• الحفاظ على التحكم في الإصدارات وسلسلة الكشف على مستوى المستأجر.

4. توافق المنصة وإدارة المخطط

• امتلاك استراتيجية قابلية النقل للكشف عبر المنصات.
• إدارة توافق المخطط عبر بيئة متعددة SIEM
• تحديد خطوط أنابيب الترجمة والتطبيع.
• ضمان التكافؤ في الكشف عبر المنصات المدعومة.
• إدارة خريطة الإدخال وسلامة القياسات.

5. هندسة التكلفة والتحسين

• امتلاك نموذج كفاءة الإدخال وإدارة التكلفة لكل جيجابايت.
• مراقبة التكلفة لكل تنبيه تم توليده.
• تحسين:
• مستويات الاحتفاظ (ساخن/دافئ/بارد)
• أداء الاستعلام
• تكرار تنفيذ القواعد
• تحديد وتتبع كفاءة الكشف (نسبة الإشارة إلى الضوضاء).
• المساهمة في قرارات ترخيص المنصة وتحسين التكلفة.

6. إطار ضمان جودة الكشف

• تأسيس عملية ضمان جودة الكشف الرسمية بما في ذلك:
• مراجعة الأقران قبل النشر
• بيئة التحقق قبل الإنتاج
• اختبار تراجع الإيجابيات الكاذبة
• اختبار قائم على المحاكاة
• تنفيذ نظام تسجيل صحة الكشف.
• تتبع تدهور الكشف والمنطق القديم.
• الحفاظ على قابلية تتبع تغييرات الكشف.

7. تحسين الخدمة المستمر

• تأسيس حلقة تغذية مرتدة منظمة من SOC إلى الهندسة.
• إجراء جلسات مراجعة منتظمة للمحللين.
• تتبع أنماط الإيجابيات الكاذبة ومقاييس إرهاق التنبيه.
• الحفاظ على تتبع التحسين المغلق.
• تحسين دقة الكشف وفعالية SOC باستمرار.
• إجراء تحليل فجوات الكشف والتحكم بعد الحوادث.

8. أتمتة وحوكمة هندسة الاستجابة

• إدارة SOAR وأتمتة الاستجابة عبر المنصات.
• تحديد نموذج الأتمتة المتدرجة (يدوي / مساعد / مستقل).
• تأسيس ضوابط تدخل الإنسان في الإجراءات عالية المخاطر.
• فرض اختبار تراجع الأتمتة والتحكم في الإصدارات.
• مراقبة معدلات نجاح وفشل الأتمتة.

9. تنفيذ الضوابط الوقائية والتحقق منها

• تنفيذ المعايير الأساسية المعتمدة من مهندس الأمن (متوافقة مع CIS).
• تشغيل معايير التكوين الآمن عبر:
• نقاط النهاية
• منصات الهوية
• بيئات السحاب
• ضوابط أمان الشبكة
• مراقبة انحراف التكوين وتدهور الضوابط.
• دمج قياسات الضوابط الوقائية في SIEM وخطوط أنابيب الكشف.
• التحقق من فعالية الضوابط باستخدام بيانات الكشف والحوادث.
• تقديم تغذية مرتدة منظمة لمهندس الأمن حول فجوات أداء الضوابط.
• دعم مبادرات تقليل التعرض من خلال تنفيذ الهندسة.

10. ملكية الامتثال وأدلة التدقيق

• الحفاظ على مسار تدقيق كامل لتغييرات الكشف.
• تقديم أدلة لISO 27001 وNIST CSF وعمليات التدقيق التنظيمية الإقليمية.
• الحفاظ على تاريخ إصدار الكشف.
• ضمان تسجيل إجراءات الاستجابة الآلية وأن تكون قابلة للتتبع.
• الحفاظ على لوحات تحكم التوافق الضابطية ومقاييس التشغيل.
• تقديم وثائق تغطية ATT&CK للمراجعين.

11. قيادة الهندسة وتطوير القدرات

• تحديد إطار كفاءة هندسة الكشف.
• توجيه وتطوير مهندسي الكشف ومهندسي SIEM.
• تأسيس خارطة طريق الشهادات (Elastic، Microsoft، Google).
• تنفيذ بطاقات أداء تقنية.
• تطوير تخطيط التعاقب وضوابط النسخ الاحتياطي.
• الحفاظ على إدارة الأعمال المتراكمة وإيقاع تسليم الهندسة.

المتطلبات الفنية

خبرة المنصة (مطلوبة)

• أمان Elastic (EQL، دورة حياة الفهرس، إدارة ECS)
• Microsoft Defender XDR & Sentinel (KQL، ASIM)

خبرة المنصة (مرغوبة)

• Google SecOps (مخطط UDM، هندسة الكشف)
• BindPlane (توجيه السجلات وهندسة تجميع القياسات)

هندسة الكشف

• تصميم الكشف القائم على السلوك
• هندسة الترابط
• إدارة قواعد Sigma
• ممارسات الكشف ككود
• رسم خرائط ATT&CK وقياس التغطية