Security Engineer / Pentester

Что предстоит делать

<p>Мы ищем талантливого и мотивированного Security Engineer / Pentester, который поможет нашей команде строить безопасный продукт, находить уязвимости до того, как это сделают злоумышленники, и внедрять лучшие практики DevSecOps и SSDLC. <br><br><strong>Обязанности:</strong> <br> </p><ul><li>Проведение пентестов: Регулярное тестирование на проникновение (Black Box, Grey Box, White Box) для веб-приложений, приложений, API-технологий и инфраструктуры. </li><li>Аудит по стандартам: Оценка безопасности приложений на соответствие стандарту OWASP ASVS (Level <nobr>1–3).</nobr> </li><li>Автоматизация и анализ (ASST/SAST/DAST): Настройка и использование инструментов автоматического сканирования кода и валидация их результатов (отсеивание False Positives). </li><li>Анализ бизнес-логики: Ручной анализ, ревью и поиск архитектурных уязвимостей различной сложности и ошибок в логике приложений. </li><li>Отчетность и взаимодействие: Составление детальных технических отчетов по результатам тестирования (оценка рисков по шкале CVSS v3/v4) и предоставление четких рекомендаций разработчикам по исправлению багов (Remediation). </li><li>Моделирование угроз: Участие в процессах Threat Modeling на ранних этапах проектирования функциональных возможностей приложений. </li></ul><p><strong>Требования:</strong></p><ul><li>Опыт работы: От 3+ лет в сфере безопасности приложений и/или тестов на проникновение. </li><li>Знание стандартов: Глубокое понимание методологий OWASP Top 10, OWASP WSTG, ASVS, CWE, SSDLC (NIST SSDF). </li><li>Использование инструментов: Экспертное знание Burp Suite Pro, OWASP ZAP, Nmap, Metasploit, SQLmap, Nessus/Acunetix и т.д. </li><li>Понимание архитектуры: Опыт работы с микросервисной архитектурой, REST API, GraphQL, контейнеризацией (Docker, Kubernetes) и облачными практиками безопасности (AWS / Azure / GCP). </li><li>Анализ кода: Углубленный опыт чтения и анализа исходного кода на предмет наличия уязвимостей (желательно знание одного или нескольких языков: [впишите стек проекта, например: Java / Node.js / .NET / Python]). </li><li>Автоматизация: Навыки написания скриптов для автоматизации рутинных задач безопасности (Python, Bash или Go). </li></ul><p><strong>Будет плюсом: </strong></p><ul><li>Наличие профильных сертификатов: OSCP, OSWE, eWPT, CEH или CISSP. </li><li>Опыт интеграции инструментов безопасности в CI/CD конвейеры (GitLab CI, GitHub Actions, Jenkins). </li><li>Опыт участия в программах Bug Bounty, Capture the Flag / Hackathons. </li><li>Конструктивный подход: Умение не просто «найти дыру», а аргументированно и без токсичности объяснить команде разработки, почему это опасно и как это исправить. </li><li>Аналитический склад ума, внимательность к деталям и способность думать как злоумышленник (adversarial mindset). </li></ul><p><strong> Что мы предлагаем: </strong></p><ul><li> Возможность бронирования, официальное трудоустройство<br>Масштаб и влияние: Возможность работать над ТОП-1 IT проектами в Украине. Ваш вклад в безопасность продукта будет влиять на миллионы пользователей и защиту национальной цифровой инфраструктуры. </li></ul> <div> <a href="https://jobs.dou.ua/companies/mod-of-ukraine/vacancies/364223/#reply-btn-id">Откликнуться на вакансию</a> </div>