Специалист по анализу защищенности (Penetration Tester)
Ищем опытного пентестера для анализа защищенности веб-приложений, API и публичных сервисов. Требуется от 3 лет опыта в наступательной безопасности, знание OWASP и инструментов вроде Burp Suite. Предлагаем работу в команде профессионалов с возможностью развития.
Зарплата не указана — оценили по рынку
На основе 5 похожих вакансий за 90 дней.
Что предстоит делать
- Проведение регулярного анализа защищенности веб-приложений, API, публичных сервисов и внешнего периметра компании
- Ручное тестирование веб-приложений на наличие уязвимостей в логике, механизмах аутентификации, авторизации, обработке пользовательского ввода, управлении сессиями и работе с чувствительными данными
- Анализ защищенности API: REST, SOAP, GraphQL, WebSocket, проверка контроля доступа, корректности обработки токенов, ограничений на частоту запросов и защиты от злоупотреблений бизнес-логикой
- Поиск и подтвержденная эксплуатация уязвимостей публичных сервисов и облачных активов с эмуляцией релевантных для отрасли TTPs
- Подготовка proof-of-concept для подтверждения уязвимостей в согласованных рамках, без нарушения доступности и целостности продуктивных систем
- Планирование и проведение кампаний контролируемого фишинга: разработка сценариев, подготовка инфраструктуры и проведение социотехнических мероприятий
- Подготовка детализированных отчетов по результатам работ: описание найденных уязвимостей, сценариев эксплуатации, рисков, возможного влияния на бизнес и рекомендаций по устранению
- Участие в развитии внутренних методик анализа защищенности, чек-листов, сценариев тестирования и базы знаний по типовым уязвимостям
- Проведение повторных проверок после устранения уязвимостей и подтверждение корректности реализованных мер защиты
- НАШИ ПОЖЕЛАНИЯ К КАНДИДАТУ:
- Опыт работы в наступательной безопасности: penetration testing, red team, анализ защищенности веб-приложений и API от 3 лет
- Уверенное знание методологий и практик тестирования защищенности: OWASP WSTG, OWASP Top 10, OWASP API Security Top 10, PTES, MITRE ATT&CK
- Практический опыт ручного анализа защищенности веб-приложений, API и публичных сервисов, включая поиск, подтверждение и описание уязвимостей
- Уверенное владение инструментами анализа веб-приложений: Burp Suite Pro, OWASP ZAP, браузерные DevTools, ffuf, gobuster, dirsearch, sqlmap, nuclei, nmap и т.д.
- Опыт работы со сканерами уязвимостей и средствами автоматизированного анализа защищенности: Nessus, Acunetix или аналогичными решениями
- Понимание современных веб-технологий и архитектур: HTTP/HTTPS, REST, SOAP, GraphQL, WebSocket, JWT, OAuth 2.0, CSP, SSRF-защиты и т.д.
- Практический опыт выявления и эксплуатации типовых и сложных уязвимостей веб-приложений: SQLi, XSS, CSRF, SSRF, XXE, SSTI, RCE, LFI/RFI, IDOR, path traversal, open redirect и т.д.
- Опыт эксплуатации уязвимостей публичных сервисов: VPN-шлюзы, почтовые сервисы, веб-приложения и API, DevOps-инфраструктура, облачные активы
- Опыт планирования и проведения кампаний контролируемого фишинга: GoPhish, Evilginx2 или аналоги, настройка инфраструктуры рассылки, разработка сценариев под целевые группы
- Умение подготавливать технические отчеты по результатам тестирования: описание вектора атаки, шагов воспроизведения, уровня риска, бизнес-влияния и практических рекомендаций по устранению
- Навыки чтения и анализа кода приветствуются: Python, JavaScript/TypeScript, Java, PHP, C#, Go или другие языки, используемые в веб-разработке
- БУДЕТ ПРЕИМУЩЕСТВОМ:
- Наличие профильных сертификатов будет преимуществом: OSCP, OSWE, eWPT, eWPTX, BSCP или аналогичных
- Участие в программах Bug Bounty и наличие подтвержденных результатов по выявлению уязвимостей в веб-приложениях, API или - публичных сервисах будет преимуществом
Стек и инструменты
Подходит ли вам эта вакансия?
Зарегистрируйтесь и загрузите резюме — посчитаем % совпадения с этой вакансией, подсветим сильные стороны и что стоит подтянуть
Ещё в ДОМ.РФ
5 активных вакансий в компании
Специалист по информационной безопасности
~994 500 – 1 909 440 ₸ оценка
Вакансия для специалиста по информационной безопасности, который будет разрабатывать и актуализировать нормативные документы, проводить аудиты и консультировать бизнес-подразделения. Требуется опыт в разработке документов по ИБ, проведении внутренних и внешних аудитов, знание законодательства в области персональных данных и КИИ.
Java разработчик (микросервисы)
~994 500 – 1 657 500 ₸ оценка
Ищем Java-разработчика для создания и поддержки микросервисов и интеграционных решений. Требуется опыт с Java 11, Spring, PostgreSQL, Docker и Kubernetes. Предлагаем работу в команде над сложными задачами.
Специалист по безопасности настройки ПО
~994 500 – 1 909 440 ₸ оценка
Специалист по информационной безопасности будет анализировать и разрабатывать стандарты безопасной настройки ПО, выявлять уязвимости конфигураций и автоматизировать процессы сбора данных. Требуется знание техник атак и механизмов защиты ОС и прикладного ПО. Приветствуется опыт Python, Ansible и участия в CTF.
AppSec-инженер
~994 500 – 1 909 440 ₸ оценка
Ищем AppSec-инженера для анализа защищенности веб и мобильных приложений. Нужно уверенное знание уязвимостей, опыт работы с SAST/DAST/SCA и умение читать код на нескольких языках. Предлагаем работу в команде безопасности.
Похожие вакансии
6 вакансий
Старший специалист по информационной безопасности
~994 500 – 1 657 500 ₸ оценка
Ищем старшего специалиста по информационной безопасности для развития защиты облачного сервиса и внутренней инфраструктуры. Требуется опыт администрирования Linux от 5 лет и работы в ИБ от 3 лет, знание сетевых протоколов, средств защиты и скриптовых языков. Предлагаем удаленную работу или офис в Москве, гибкий график, ДМС и возможности для профессионального роста.
Ведущий инженер Security SRE
~994 500 – 1 657 500 ₸ оценка
Ищем ведущего инженера по сетевой безопасности в банк Wildberries. Нужно администрировать межсетевые экраны, IDS/IPS, VPN, проводить сканирование уязвимостей и автоматизировать рутину. Требуется опыт с enterprise-FW и скриптами на Python/Bash.
Специалист по информационной безопасности
~994 500 – 1 657 500 ₸ оценка
Компания «Единый оператор» ищет опытного специалиста по информационной безопасности. Вам предстоит проводить аудиты, проектировать архитектуру ИБ, управлять доступом и разрабатывать документацию по непрерывности бизнеса. Требуется опыт от 3 лет, знание средств защиты и умение работать с документацией. Предлагают гибридный или удалённый формат, ДМС и годовые бонусы.
Старший инженер по безопасности приложений
Старший инженер по безопасности приложений в AgileEngine будет проектировать и внедрять автоматизированные системы безопасности в процесс разработки, используя AI для сканирования кода и интеграцию инструментов в CI/CD. Требуется 6+ лет опыта в разработке с фокусом на AppSec, владение Python и Java, а также опыт с SAST/DAST/SCA. Компания предлагает удаленную работу, гибкий график и конкурентную зарплату в USD.
Ведущий специалист по тестированию на проникновение (Penetration Testing Specialist)
~994 500 – 1 657 500 ₸ оценка
Ищем ведущего пентестера для анализа защищенности корпоративных сетей и приложений. Требуется опыт от 2 лет, знание TCP/IP и скриптов на Python. Предлагаем удаленную работу или офис в Москве, помощь в сертификации и участие в профильных мероприятиях.
AI-рішення для кібербезпеки (SOC/IR)
Команда ESKA шукає експерта з кібербезпеки для створення AI-продукту, який автоматизує аналіз інцидентів. Потрібен глибокий досвід SOC, знання MITRE ATT&CK та SIEM, а також навички AI/ML. Пропонується віддалена робота та високий рівень автономності.