Специалист по AppSec / SAST

Что предстоит делать

ITD Group — группа компаний, которая более 15 лет активно продвигает на рынках России и СНГ решения в сфере защиты информации. Одно из наших направлений — разработка решений в области информационной безопасности. Команда SASTAV развивает направление AppSec и занимается разработкой продуктов для статического анализа кода. Решение используется крупнейшими компаниями России и находится на стадии активного развития. Сейчас мы расширяем команду и ищем специалиста, который будет развивать продукт: разрабатывать и улучшать правила поиска уязвимостей, повышать точность и покрытие проверок и участвовать в развитии инструментов статического анализа.

• Разрабатывать и улучшать правила SAST;
• Исследовать уязвимости в исходном коде: разбирать причины возникновения, условия эксплуатации и способы автоматического обнаружения;
• Анализировать результаты сканирования, находить причины ложных срабатываний и пропусков, повышать точность и покрытие проверок;
• Создавать тестовые примеры с уязвимым и безопасным кодом и поддерживать наборы тестов для проверки качества правил;
• Готовить описания срабатываний и рекомендации по исправлению уязвимостей;
• Совместно с разработчиками анализатора определять необходимые возможности движка для улучшения проверок.
• Что хотим увидеть у вас:
• Мы рассматриваем специалистов разного уровня — от начинающих специалистов до опытных инженеров. Для более высокой позиции важен прикладной опыт работы с SAST-инструментами.
• Практический опыт в AppSec: поиск и анализ уязвимостей в исходном коде, проведение security code review;
• Понимание распространённых классов уязвимостей, условий их эксплуатации и способов исправления;
• Понимание основ статического анализа: поток данных, источники недоверенных данных, опасные операции и санитизация;
• Умение переводить описание уязвимости в условия автоматической проверки и проверять их на уязвимых и безопасных примерах;
• Навыки работы с Git, автоматизированными тестами и ревью кода;
• Знание одного из веб-фреймворков;
• Для более высокой позиции прикладной опыт работы с SAST-инструментами.
• Желательные навыки:
• Практический опыт работы с SAST: разбор срабатываний, выявление ложных результатов, понимание причин пропусков;
• Опыт разработки правил для SAST, например Semgrep или CodeQL, либо собственного анализатора;
• Опыт работы с taint-анализом, межпроцедурным анализом и моделированием поведения библиотек и фреймворков;
• Опыт системной оценки качества статического анализа на тестовых наборах и реальных проектах;
• Опыт исследования уязвимостей и подготовки минимальных примеров, подтверждающих проблему;
• Знакомство с SCA, прямыми и транзитивными зависимостями, экосистемами пакетных менеджеров;
• Понимание анализа достижимости: построения графа вызовов и определения, может ли приложение вызвать уязвимый код зависимости.
• Мы рады предложить:
• Официальное трудоустройство в аккредитованной IT-компании по ТК РФ;
• Удаленка по РФ, а также есть возможность работать в уютном офисе на ст. метро Белорусская.
• 28 + 3 дня отпуска в год;
• Гибкая система льгот: предлагаем на выбор ДМС со стоматологией, абонемент на занятия спортом или компенсацию языковых курсов;
• Вся необходимая рабочая техника;
• Возможность обучения за счет компании;
• Действительно дружная команда из 100+ отличных ребят, которые горят своим делом, а в свободное время катаются на моноколесе, тюнят машины, коллекционируют охотничье нарезное и делают многое другое, о чем подробно расскажут новому коллеге за утренним кофе :)