Penetration Tester / Red Team Specialist

Что предстоит делать

<p><strong>Kitsoft — украинская GovTech-компания</strong>, которая помогает создавать цифровые государства нового поколения. Мы более 11 лет разрабатываем и внедряем цифровые сервисы для миллионов людей, меняя то, как граждане взаимодействуют с государством — быстро, удобно и прозрачно.</p><p>Скорее всего, ты уже знаешь или пользуешься нашими продуктами: <strong>услуги на порталах Дія, Київ Цифровий, єПідприємець, цифровые государственные сервисы для общин, бизнеса, военных и социальной сферы. Наши решения используют более 20+ миллионов украинцев.</strong></p><p>Отдельный фокус — <strong>Liquio, наша AI-driven low-code платформа</strong> для создания и масштабирования государственных услуг. Именно на Liquio построены сотни сервисов в Украине, и сегодня мы выводим эту платформу на международные рынки, помогая другим странам запускать цифровые сервисы быстро, безопасно и в соответствии с международными стандартами. </p><p>Мы масштабируем украинский опыт цифровой устойчивости в мир. У нас сложные и амбициозные проекты, сильная команда, культура развития и реального влияния. </p><p>Мы расширяем команду <strong>кибербезопасности Kitsoft</strong> и формируем направление <strong>Red Team</strong>, которое будет отвечать за практическую проверку защищённости программных продуктов, веб-сервисов и инфраструктуры.<br>Ищем специалистов, которые умеют мыслить как потенциальный злоумышленник, исследовать сложные технические системы и проверять, насколько эффективно реализованы механизмы их защиты.</p><h3>Что делает наш Penetration Tester / Red Team Specialist:</h3><ul><li>Проводить penetration testing программных продуктов: веб-приложений, API, мобильных клиентов и других компонентов цифровых сервисов.</li><li>Проверять защищённость инфраструктуры, сетевых сервисов, конфигураций серверов и облачных компонентов.</li><li>Разрабатывать и воспроизводить сценарии атак для проверки устойчивости систем к реальным угрозам.</li><li>Исследовать логику работы приложений, механизмы аутентификации и авторизации, управления сессиями и разграничения доступа.</li><li>Выполнять ручной анализ безопасности, проверять результаты автоматизированного сканирования и подтверждать возможность эксплуатации выявленных проблем.</li><li>Готовить технические отчёты по результатам проверок с доказательствами, оценкой рисков и практическими рекомендациями по исправлению.</li><li>Разрабатывать скрипты и совершенствовать инструменты, автоматизирующие повторяющиеся задачи во время тестирования.</li><li>Отслеживать новые техники атак, уязвимости и эксплойты, применять их для актуализации методик проверки.</li><li>Сотрудничать с командами разработки, DevOps и инфраструктуры при анализе результатов и повторной проверке исправлений.</li><li>Участвовать в развитии методологии offensive security и процессов проверки защищённости в компании.</li></ul><h3>Какие профессиональные навыки и опыт важны:</h3><ul><li>От 2 лет практического опыта в penetration testing, application security или смежном направлении.</li><li>Понимание методологий тестирования безопасности и умение самостоятельно проводить проверки, а не только запускать автоматизированные сканеры.</li><li>Практический опыт поиска и эксплуатации уязвимостей в веб-приложениях и API, в частности проблем контроля доступа, инъекций, обхода механизмов защиты и ошибок бизнес-логики.</li><li>Знание подходов OWASP к оценке безопасности веб-приложений и API.</li><li>Опыт работы с Burp Suite или аналогичными инструментами анализа HTTP-трафика и тестирования веб-приложений.</li><li>Навыки использования Nmap и других инструментов исследования сетевых сервисов и поверхности атаки.</li><li>Владение Python, Bash или другим языком сценариев для написания вспомогательных инструментов и автоматизации проверок.</li><li>Понимание принципов работы HTTP/HTTPS, TCP/IP, DNS, SQL и механизмов аутентификации и авторизации.</li><li>Способность анализировать технические результаты, определять реальное влияние уязвимостей и понятно объяснять риски.</li><li>Умение документировать результаты работы и аргументированно обосновывать рекомендации.</li></ul><h3>Будет плюсом:</h3><ul><li>Опыт тестирования мобильных приложений Android и iOS.</li><li>Практика оценки безопасности Docker, Kubernetes, Linux-систем и облачной инфраструктуры.</li><li>Опыт реверс-инжиниринга, анализа бинарных файлов или fuzz-тестирования.</li><li>Знание инструментов Metasploit, Frida, MobSF, Ghidra и средств автоматизированного сканирования.</li><li>Опыт тестирования REST API и GraphQL, включая сложные сценарии контроля доступа.</li><li>Участие в Bug Bounty, CTF, исследовательских проектах или публикация собственных технических исследований.</li><li>Знакомство с процессами Secure SDLC, DevSecOps и инструментами SAST/DAST/SCA.</li><li>Наличие профильных сертификаций, например OSCP, PNPT, CRTO или аналогичных.</li></ul><h3>Как проходит отбор кандидатов:</h3><ul><li>Отправляй своё резюме в ответ на эту вакансию. </li><li>Важно: мы не предоставляем фидбек на этапе рассмотрения резюме. </li><li>Если твоё резюме будет соответствовать требованиям, наш рекрутер напишет тебе, при необходимости уточнит информацию и пригласит на собеседование.</li><li>Собеседование проходит в Google Meet и имеет 2 этапа: </li></ul><ol><li>Интервью с рекрутером (60 мин). Проверяем, насколько мы с тобой подходим по ценностям, и наличие необходимых компетенций</li><li>Техническое интервью с руководителем — Head of Information Security (60 мин). Фокус на навыках, чтобы понять технический уровень, знания, необходимые hard и soft скиллы.</li></ol><h3>Условия работы:</h3><ul><li>Испытательный срок — 3 месяца.</li><li>График работы гибкий и зависит от команды, преимущественно с 09:30 до 18:30.</li><li>Можно работать из офиса (коворкинг по адресу г. Киев, улица Князей Острожских, 32/2, м. Арсенальная) или дистанционно. Нет требований к территориальному размещению кандидата, но преимуществом является г. Киев</li><li>Отпуск 24 календарных дня + праздничные выходные дни от компании (в военное время определили 4 праздничных выходных: Пасха, День защитников и защитниц, Рождество, Новый год)</li><li>5 больничных дней в год без справки от врача. Со справкой количество дней неограниченно, но конечно же лучше, чтобы все были здоровы</li><li>Поддерживаем обучение и повышение квалификации: есть план индивидуального развития и компенсация 70% стоимости внешнего обучения. </li><li>Дополнительная поддержка: частично компенсируем расходы на занятия спортом, услуги психолога, а также предоставляем материальную поддержку и три выходных в необходимые моменты жизни.</li></ul><p><strong>Присоединяйся к Kitsoft и создавай социально важные цифровые услуги для правительств вместе с нами!</strong></p><p><br>*Подавая заявку, вы передаёте нам свои персональные данные. Kitsoft обрабатывает их, чтобы рассмотреть вашу кандидатуру и связаться с вами по поводу вакансии. Доступ к данным имеют только сотрудники, задействованные в отборе, а для хранения мы пользуемся системой PeopleForce. Мы храним ваши данные до 12 месяцев после завершения отбора, а затем удаляем. Вы можете в любой момент запросить доступ к своим данным, их исправление или удаление, написав на <a href="mailto:[email protected]">[email protected]</a>.</p> <div> <a href="https://jobs.dou.ua/companies/kitsoft/vacancies/379045/#reply-btn-id">Откликнуться на вакансию</a> </div>