🔍 Запустил whoami из 1С:Предприятия, а SIEM промолчала. В журнале регистрации пусто, правила корреляции не сработали. Разобрался, почему так, написал детект и статью на Хабре 👇 habr.com/ru/articles/1105852 👋 Меня зовут Евгений, я ищу работу в Blue Team. ━━━━━━━━━━━━━━━ 🛡 ЧТО Я ДЕЛАЛ НА ПРАКТИКЕ ━━━━━━━━━━━━━━━ 🎯 Детект атак на 1С Сборщик журнала регистрации на Python, правила Sigma и Wazuh: подбор пароля, создание пользователей, изменение конфигурации. Привязка к MITRE ATT&CK. Код открыт: github.com/r00tAlchemist/1c-threat-detection 🧪 Домашняя SOC-лаборатория VMware, домен AD, ELK, Wazuh, Suricata, pfSense, Kaspersky EDR, Sysmon. Атакую её сам (Kerberoasting, BloodHound, запуск ВПО в изолированной ВМ) и смотрю, что увидели SIEM, IDS и EDR. 🎓 SOC-тренажёр 28 сценариев триажа, 12 из них — false positive. Тренирую главное: отличать шум от инцидента. ⚔️ Знаю атаку изнутри В коммерческом пентесте нашёл цепочку web → 1С → RCE. Заказчик закрыл уязвимости по моему отчёту. ━━━━━━━━━━━━━━━ 📍 Москва · офис или удалёнка · к переезду готов 💼 Если у вас в SOC есть место для L1–L2 или вы знаете, кто ищет, напишите в личку. 💬 Работаете в SOC? Подскажите в комментариях: что для вас важнее всего в кандидате на первую позицию?