Werken als Detection Engineer

Wat doet een Detection Engineer?

Een Detection Engineer zorgt dat de organisatie een aanval ziet. Die persoon bedenkt welk gedrag verdacht is, controleert of de logs daarvan bestaan, schrijft een regel, test die en stelt hem af, zodat een analist een melding krijgt die iets betekent. Er is geen officieel rolprofiel voor deze functie, dus wat er precies in de baan zit, verschilt per werkgever.

Zo kan het werk eruitzien aan de hand van een voorbeeld. Een Incident Responder vindt in een gehackt account een regel in de mailbox die alle post doorstuurt naar een extern adres. De Detection Engineer vraagt eerst of het aanmaken van zo'n regel in een log staat dat de organisatie al verzamelt, en wat normaal is, want medewerkers maken zelf ook mailboxregels aan. Daarna schrijft de engineer een regel die afgaat bij doorsturen naar een adres buiten de organisatie. Die regel draait op oude logs, zodat zichtbaar wordt hoeveel meldingen hij zou hebben gegeven. Bekende gevallen worden uitgesloten, en de engineer schrijft op wat een analist moet controleren wanneer de regel afgaat. Na een paar weken kijkt de engineer of de regel nog bruikbaar is.

Microsoft beschrijft in de certificering Security Operations Analyst Associate dat een analist ook detecties bouwt. Het werk hoort dus soms bij een analystenfunctie en soms bij een aparte engineerrol. Meer over het vakgebied staat bij security operations.

Een detectieregel van idee tot productie

Een regel doorloopt zeven stappen. De volgorde is een patroon en geen vaste procedure.

1. Idee. Het komt uit een incident, een test door een red team of pentesters, dreigingsinformatie of een gat in de dekking.
2. Controleren of de gegevens er zijn. Het gedrag moet zichtbaar zijn in de logs die al binnenkomen. Ontbreekt de bron, dan moet die erbij komen, en dat regelt vaak de SIEM Engineer.
3. De regel schrijven. In de zoektaal van het platform, of in een formaat als Sigma dat je later kunt omzetten.
4. Testen. Op oude gegevens en op gedrag dat je zelf nabootst.
5. Afstellen op vals alarm. Een regel die zonder aanleiding afgaat, kost aandacht en maakt analisten minder alert.
6. Documenteren en uitrollen. Wat zoekt de regel, waarom bestaat hij, en wat doet de analist bij een melding.
7. Onderhouden. Aanpassen of uitzetten wanneer de regel niet meer past.

Bij sommige teams worden regels behandeld als code: ze staan in versiebeheer, worden getest en via een vaste route uitgerold, ook wel "detection as code" genoemd. Dat verschilt per team en is geen vereiste.

Een regel is geen eindproduct. Omgevingen veranderen, en een regel die gisteren werkte, kan vandaag ruis geven of juist niets meer zien.

Welke taken horen bij de functie?

Er bestaat geen officiële takenlijst voor deze functie. Het Europese skillskader van ENISA, het European Cybersecurity Skills Framework (ECSF), verscheen in september 2022 met 12 rolprofielen. Een profiel Detection Engineer staat er niet bij, maar wel taken die dicht bij het werk liggen. In het profiel Cyber Incident Responder is het meten van de effectiviteit van detectie en reactie bij cyberincidenten een hoofdtaak, en het beheren en analyseren van logbestanden een kernvaardigheid. In het profiel Cyber Threat Intelligence Specialist staat het gebruik van dreigingsinformatie om threat modelling en threat hunting te ondersteunen.

Bij sommige organisaties horen deze taken erbij:

• regels bouwen, testen en afstellen
• de dekking in kaart brengen, dus welke technieken de organisatie kan zien en welke niet
• nieuwe aanvalstechnieken uit incidenten vertalen naar regels
• feedback van analisten over ruis en ontbrekende meldingen verwerken
• documenteren wat de regels doen
• regels onderhouden en uitzetten wanneer ze niet meer passen

Om de dekking in kaart te brengen vergelijken teams hun regels met MITRE ATT&CK. Dekking zegt echter niet dat een aanval ook echt wordt gezien. Een regel kan bestaan en toch niets opleveren, omdat het log ontbreekt of de regel te streng is.

Het werk raakt aan andere functies. De SOC Analist geeft feedback op ruis en op wat ontbreekt. De Incident Responder levert nieuwe technieken uit echte incidenten. Een Threat Hunter bedenkt jachtvragen, en in Microsoft Sentinel kan zo'n zoekopdracht een eigen detectieregel worden. Pentesters en red teams testen of een regel afgaat, de Malware Analyst levert indicatoren en regels voor bestanden, en de SIEM Engineer zorgt dat de gegevens er zijn.

Welke skills heb je nodig?

Technisch begin je bij logs: wie deed wat, op welk systeem en wanneer. Je kent de aanvalstechnieken die je wilt zien en de zoektaal van het platform, want elk SIEM heeft er een eigen. Bij Microsoft Sentinel is dat KQL. Je schrijft scripts om werk te automatiseren, en Python is daarvoor een voorbeeld. Een idee van netwerkverkeer en endpoints helpt ook, en een basis in statistiek kan helpen bij het afstellen, al is dat geen eis.

Niet-technisch kijk je kritisch naar je eigen regels: wanneer gaat dit onterecht af? Je documenteert nauwkeurig, luistert naar de analisten die de meldingen afhandelen en kunt uitleggen waarom een regel bestaat of waarom je hem hebt uitgezet.

Welke tools en technologie gebruikt een Detection Engineer?

Een SIEM verzamelt logs en maakt meldingen op basis van regels. Voorbeelden zijn Microsoft Sentinel, Splunk en Elastic Security. Een EDR-tool bewaakt endpoints en heeft eigen detecties, zoals CrowdStrike als voorbeeld. Microsoft beschrijft voor Sentinel dat gebruikers de standaard analyseregels kunnen gebruiken of als uitgangspunt nemen, en dat analyses meldingen groeperen tot incidenten. Bij Elastic Security beoordeelt de detection engine gebeurtenissen aan de hand van detectieregels en genereert meldingen zodra aan de criteria is voldaan. Zo werken regels in een platform; de details verschillen per product.

Een open formaat als Sigma beschrijft een detectie los van het platform. Een Sigma-regel is een YAML-bestand met onder meer titel, omschrijving, logbron, detectielogica, bekende valse positieven en ernstniveau. YARA helpt bij het herkennen van malwarebestanden aan de hand van tekst- of binaire patronen. Systemen als Suricata en Snort vergelijken netwerkverkeer met regels. MITRE ATT&CK is de gedeelde taal waarmee teams technieken van aanvallers benoemen.

Wie één platform kent, leert een tweede meestal sneller, omdat de vragen hetzelfde blijven. De vacature noemt de tools die een werkgever gebruikt.

Welke opleiding en certificeringen passen bij een Detection Engineer?

Er is geen vaste opleidingseis. Je kunt starten met een hbo- of wo-opleiding in ICT of security, en zij-instroom vanuit een SOC, IT-beheer of ontwikkeling komt ook voor.

Voor SIEM en detectie bestaat de GIAC Certified Detection Analyst (GCDA). GIAC omschrijft die als bevestiging van het vermogen om SIEM-hulpmiddelen en -technieken te gebruiken, onder meer voor het verzamelen en onderzoeken van netwerk-, endpoint- en cloudgegevens. De Microsoft Security Operations Analyst Associate gaat over de rol van analist, met triage, incidentrespons, threat hunting en het bouwen van detecties met KQL. Het is dus een certificering voor de analist, niet specifiek voor Detection Engineers. Of een werkgever er waarde aan hecht, verschilt.

Voor basiskennis is CompTIA Security+ een mogelijke start. Wie ook de aanvallerskant wil leren kennen, kan kijken naar OSCP, al gaat die certificering niet over detectie. Een certificering vervangt ervaring niet.

Hoe word je Detection Engineer?

Eén route loopt via het werk als SOC Analist. Wie meldingen afhandelt, ziet welke meldingen onnodig zijn en wat er mist. Ook instroom vanuit IT-beheer of ontwikkeling met scriptervaring komt voor, en wie daarvandaan komt, leert de aanvalskant erbij. Een hbo-opleiding in ICT of security is een derde weg.

Je kunt zelf beginnen met een kleine testomgeving en een logplatform. Boots gedrag na op een testsysteem, schrijf er een regel voor, meet hoeveel ruis die geeft en stel de regel af. Wat je laat zien, is een paar regels met uitleg, de testmethode en de bekende uitzonderingen. Dat materiaal hoeft geen gegevens van een werkgever te bevatten.

Waar werk je als Detection Engineer?

Dit zijn patronen, geen lijst. Detection Engineers werken bij organisaties met een eigen SOC, bij beveiligingsdienstverleners en adviesbureaus, en in sectoren waar logging zwaar meeweegt. Per sector kun je kijken naar de vacatures voor financiële dienstverlening, IT, SaaS en technologie en energie en infrastructuur. Werkgevers die deze functie noemen, vind je op de werkgeverspagina voor Detection Engineer. De vacaturetekst laat zien hoe de functie bij die werkgever is ingevuld.

Detection Engineer of SIEM Engineer?

Voor geen van beide rollen bestaat een officieel profiel; het ECSF noemt ze niet. De uitleg hieronder is vakduiding. Bij sommige organisaties is de Detection Engineer dezelfde persoon als de SIEM Engineer, bij andere zijn het twee teams. Het ene team zorgt dat de gegevens kloppen, het andere dat de regels iets betekenen.

Zonder betrouwbare gegevens heeft een regel niets om op te zoeken, en zonder regels zegt een platform weinig. De rolgids van de SIEM Engineer gaat verder in op dat deel van het werk.

Vanuit deze rol zijn er vervolgstappen, zoals Senior Detection Engineer, waar de moeilijkere detecties en de aanpak voor het team bij horen, of Threat Hunter, waar je actief zoekt naar aanvallers zonder melding. Ook SOC Engineer, Security Engineer, SOC Manager en Security Architect komen voor. Dit is een overzicht van mogelijkheden, geen belofte.

Vacatures en werkgevers

Bekijk de vacatures voor Detection Engineer en de werkgevers met deze functie. Een vacature zegt zelf welke tools, ervaring en opleiding de werkgever vraagt, en die eisen verschillen per organisatie. Ook de vacatures voor SOC Engineer en Security Engineer raken dit werk.