Senior Security Engineer (m/f/d)

Mission Brief

Sie sind der Wächter und Herausforderer unserer Sicherheitslage. Bei Isar Aerospace sind die Systeme, die unsere Raketen bauen, und die Bodensysteme, die sie starten, missionkritisch, und deren Schutz erfordert mehr als nur gutes Design. Es erfordert jemanden, der seine eigene Arbeit angreift, um sicherzustellen, dass sie hält.

Wir suchen einen tiefgreifenden, praktischen Senior Security Engineer. Sie leben in den Konsolen, den Regelsets und dem Code. Sie besitzen unsere sicheren Zugangs- und Netzwerksicherheitskontrollen, unseren Endpoint- und Identitätssicherheitsstapel sowie unseren Erkennungsinhalt und betreiben diese selbst, anstatt von der Seitenlinie aus zu dirigieren. Sie tragen zwei Hüte: den Builder, der die Kontrollen implementiert und betreibt, die uns sicher halten, und den Adversary, der ständig testet, ob diese Kontrollen und Erkennungen tatsächlich funktionieren.

Dies ist eine Senior Engineering-Rolle mit dem Geist eines Architekten. Sie werden erwartet, das zu entwerfen, was Sie betreiben, nicht nur es zu konfigurieren: Wählen Sie das Muster, schreiben Sie es auf und stellen Sie sicher, dass es im Flottenmaßstab funktioniert. Ein vielseitiger Ingenieur mit echtem Tiefgang, der sich wohlfühlt, von einem Firewall-Regelset über eine Erkennungsabfrage bis hin zu einer Verzeichnis-Härtungsaktion in derselben Woche zu wechseln, und ein technischer Anker, auf den andere sich stützen.

Ihre Rolle in unserer Raumfahrtmission

• SASE und Netzwerksicherheit: Besitzen und betreiben Sie unsere SASE-Plattform, einschließlich der Überarbeitung der Internet-Sicherheitsrichtlinien und der Neudefinition der privaten Zugangsrichtlinien.
• Führen Sie die Firewall-Sicherheit mit dem Netzwerkteam: Besitzen Sie die Netzwerksicherheitsengineering- und Segmentierungsstrategie, analysieren Sie Regelsets, identifizieren Sie Lücken und sehen Sie die Behebung gemeinsam mit dem Netzwerkengineering-Team durch, das die Geräte besitzt.
• Koordinieren Sie firewallnahe Kontrollen: IPS, AV, Sandboxing und DDoS-Schutz.
• Verwalten Sie unsere DNS-Sicherheit und WAF-Lösungen, einschließlich unserer Edge- und CDN-basierten Schutzdienste.

Sicherheitslage und Härtung:

• Wenden Sie CIS Benchmarks an, um die Sicherheitslage über Firewalls, Endpunkte, unsere Cloud-Identitätsplattform und unsere Cloud-Produktivitäts-Suite zu erhöhen.
• Leiten Sie die Bereinigung und Härtung unserer On-Premises- und Cloud-Identitätsverzeichnisse gemeinsam mit dem Infrastrukturteam und halten Sie beide kontinuierlich gehärtet.
• Leiten Sie unser phishing-resistentes MFA- und privilegiertes Zugangsprogramm, einschließlich Just-in-Time-Erhöhung und der Behebung der Angriffspfade, die wir finden.
• Besitzen Sie den Lebenszyklus von Zertifikaten und PKI-Operationen: Schlüsselzeremonien, automatisierte Erneuerung und Input zu unserem Plan für die Migration nach der Quantenzeit.

Erkennung und Sichtbarkeit:

• Verwalten und optimieren Sie unsere IPS/IDS-Plattformen; schreiben und pflegen Sie benutzerdefinierte IDS-Signaturen und betreiben Sie Netzwerksensoren für NTA-Geräte.
• Bauen und pflegen Sie Erkennungen in unserem SIEM und wenden Sie MITRE ATT&CK auf die Erkennungstechnik und das Design von Anwendungsfällen zur Unterstützung des SOC an.
• Erweitern Sie die Sichtbarkeit in OT mit speziell entwickelten OT-Überwachungstools.
• Agieren Sie als L3-Incident-Responder für eskalierte Sicherheitsereignisse und verwandeln Sie jedes Ergebnis in eine Behebung, eine neue Erkennung oder eine gehärtete Konfiguration.

Sicherheitsstapel und Automatisierung:

• Besitzen Sie unsere Endpoint-Detection-and-Response-, Daten- und CASB-Plattformen als deren technischer Eigentümer.
• Script und bauen Sie interne Tools in PowerShell und Python, damit Kontrollen und Prüfungen automatisch ablaufen.

Design- und Engineering-Partnerschaft:

• Entwerfen Sie, was Sie betreiben: Führen Sie Bedrohungsmodellierung und Analyse von Angriffspfaden auf den Systemen durch, die Sie besitzen, wählen Sie das Muster und dokumentieren Sie Standards, gegen die andere arbeiten können.
• Bewerten Sie Tools und unterstützen Sie die Auswahl und Erneuerung von Anbietern in Ihrem Bereich, mit einem klaren Blick darauf, was jede Kontrolle uns kostet und was sie uns bringt.
• Integrieren Sie Sicherheit mit Engineering: Arbeiten Sie mit IT, Infrastruktur, Fertigung und Missionsteams zusammen, um Kontrollen in ihren Umgebungen sowohl in IT als auch in OT zu implementieren und zu validieren, wobei Sie die Einschränkungen des Startfensters und der Änderungsfreeze respektieren und die Nachweise produzieren, auf die unsere Audits angewiesen sind.

Qualifikationscheckliste:

• Erfahrung: 10+ Jahre in der Sicherheitsengineering, mit echtem Besitz von Produktionssicherheitstools, nicht nur Richtlinien- oder Beratungsarbeit.
• Architektgeist: Sie können sich von der Konsole zurückziehen, den Zielzustand entwerfen, das Muster aufschreiben und es dann selbst bauen.
• SASE: Praktische Erfahrung in der Verwaltung einer Unternehmens-SASE-Plattform von Anfang bis Ende, nicht nur deren Nutzung.
• Härtung: Erfahrung in der Anwendung von CIS Benchmarks auf Firewalls, Endpunkte, Cloud-Identität und Cloud-Produktivitätsplattformen in der Produktion sowie Erfahrung in der Einführung von phishing-resistentem MFA oder privilegierter Zugangsverwaltung.
• Netzwerk- und Firewallkenntnisse: Solide Grundlagen, um die Segmentierungsstrategie zu besitzen und die Analyse von Regelsets sowie die Behebung von Lücken mit einem Netzwerkteam, das die Geräte besitzt, voranzutreiben. Erfahrung mit CDN-basierten WAF- und Edge-Schutzdiensten.
• Tiefe im Sicherheitsstapel: Starker Hintergrund in Endpoint-Detection-and-Response, Datenschutz, SIEM und Abfragesprachen zur Erkennung, Cloud-Identität und Härtung von On-Premises-Verzeichnissen, Lebenszyklus von Zertifikaten und PKI-Operationen, idealerweise einschließlich einer großangelegten Bereinigung oder Behebung von Verzeichnissen.
• Erkennungstechnik: Praktische, MITRE ATT&CK-gesteuerte Erkennungsarbeit und Erfahrung im Schreiben von benutzerdefinierten IDS/IPS-Signaturen.
• Betriebliche Tiefe: Starke Fähigkeiten in der Erkennung, Incident Response und Schwachstellenmanagement, mit Zeit, die mit eskalierten Vorfällen verbracht wurde.
• Automatisierung: Skriptfähigkeiten in PowerShell und Python sowie Erfahrung mit Infrastructure-as-Code und Policy-as-Code.
• IT und OT: Komfortabel in beiden Bereichen. Grundkenntnisse der OT-Protokolle wie EtherNet/IP, OPC UA und Modbus sowie Vertrautheit mit der OT-Netzwerküberwachung sind ein großer Vorteil.
• Autonomie: Arbeitet mit sehr hoher Autonomie als interner Experte, übernimmt die volle Verantwortung für seine Arbeit und leitet andere an.
• Mentoring: Mentoren Ingenieure und Analysten im Team und fungieren als technische Führungskraft in funktionsübergreifenden Projekten.
• Kommunikation: Klare Kommunikations- und Zusammenarbeitsfähigkeiten, in der Lage, technische Risiken für verschiedene Zielgruppen zu übersetzen und Kontrollen durch andere Teams zu steuern.
• Bildung: Bachelor- oder Masterabschluss in Informatik, Informationssicherheit oder einem verwandten Bereich oder gleichwertig durch relevante Zertifizierungen und praktische Erfahrungen.

Bonusfähigkeiten:

• Erfahrung in der Luft- und Raumfahrt, Verteidigung, Energie, Fertigung oder anderen OT-lastigen, sicherheitskritischen Umgebungen.
• Frühere SOC- oder Incident-Response-Team-Erfahrung.
• Cloud-Sicherheitskenntnisse in einer großen öffentlichen Cloud und deren nativen Sicherheitsdiensten.
• Vertrautheit mit Branchenstandards wie ISO 27001 und NIST.
• Relevante Zertifizierungen, defensive oder engineering (z.B. Security+, GCIA) und offensive (z.B. OSCP oder gleichwertig), werden beide geschätzt.

Remote Vollzeit: 10.000–120.000 USD/Jahr

Remote Vollzeit: 80.000–100.000 USD/Jahr