Специалист по безопасности приложений (Application Security)

Что предстоит делать

Наш клиент, Growe, ведущая консалтинговая компания и группа сервисов в сфере iGaming и развлечений. Они создают стратегии, которые работают, и решения, которые масштабируются. Идеально для тех, кто стремится: Сортировать, проверять и определять приоритеты результатов проверки безопасности, полученных с помощью инструментов сканирования SAST, SCA и Secret, фильтровать ложноположительные результаты, оценивать риски и отслеживать проблемы до их устранения; Проводить ручные и инструментальные проверки кода для выявления уязвимостей безопасности и опасных вариантов реализации до того, как код попадет в Production; Проводить практическое тестирование безопасности веб-приложений, микросервисов и API для выявления уязвимостей безопасности и недостатков бизнес-логики; Проводить аудит REST и GraphQL API и веб-приложений с акцентом на основные риски безопасности приложений, аутентификацию, авторизацию и бизнес-логику. Опыт, который станет твоим преимуществом: 2-4 года опыта работы в Application Security, Product Security или Penetration Testing; Практический опыт сортировки и анализа результатов, полученных с помощью Semgrep/OpenGrep, Gitleaks, Trivy и OSV-Scanner; Опыт работы с Burp Suite (Pro), Nuclei, Subfinder, SQLmap, Metasploit и NetExec; Понимание классических уязвимостей OWASP Top 10, включая недостатки инъекций (SQLi, Command Injection), подделку запросов на стороне сервера (SSRF), межсайтовый скриптинг (XSS), подделку межсайтовых запросов (CSRF), нарушенный контроль доступа / небезопасные прямые ссылки на объекты (IDOR / BOLA), неправильные конфигурации безопасности, криптографические сбои, небезопасную десериализацию и массовое присваивание; Знание OWASP API Security Top 10 для архитектур REST и GraphQL; Понимание протоколов идентификации и механики контроля доступа (OAuth 2.0, OIDC, JWT, SAML, RBAC/ABAC); Способность выявлять сложные обходы авторизации, недостатки управления сеансами и ошибки бизнес-логики; Средний уровень английского языка (разговорный и письменный). Способность читать и анализировать современный код приложений для выявления недостатков безопасности (будет плюсом); Базовое понимание принципов облачной безопасности в средах AWS и основ безопасности Kubernetes (K8s) (будет плюсом); Сертификации BSCP, CWES, OSCP, CPTS (будут плюсом). Мы ценим: Сильные коммуникативные навыки для эффективного сотрудничества с командами инженеров, разработчиков продуктов и DevOps; Навыки нацеленности на результат; Открытость к обучению. Наши клиенты предлагают конкурентные преимущества для поддержки вашего профессионального и личностного роста, в том числе: Ориентация на здоровье и благополучие; Глобальное медицинское страхование; Возможности для роста; Программы льгот (компенсация спорта / стоматологии / психолога и т.д.); Бонусы за достижение результатов; Динамичная рабочая среда. English version: Our client, Growe, is a leading business advisory and services group in iGaming and Entertainment. Creators of strategies that work and solutions that scale. Perfect for those who aim to: Triage, validate, and prioritize security findings from SAST, SCA, and Secret scanning tools, filter out false positives, assess risks, and track issues through to remediation; Conduct manual and tool-assisted code reviews to identify security vulnerabilities, logic flaws, and insecure implementation choices before code reaches production; Perform hands-on penetration testing of web applications, microservices, and APIs to uncover security vulnerabilities and business logic flaws; Audit REST and GraphQL APIs and web applications with a strong focus on core application security risks, authentication, authorization, and business logic. Experience you’ll need to bring: 2-4 years of experience in Application Security, Product Security, or Penetration Testing; Hands-on experience triaging and analyzing findings from Semgrep / OpenGrep, Gitleaks, Trivy, and OSV-Scanner; Experience with Burp Suite (Pro), Nuclei, Subfinder, SQLmap, Metasploit, and NetExec; Deep understanding of classic OWASP Top 10 vulnerabilities, including Injection flaws (SQLi, Command Injection), Server-Side Request Forgery (SSRF), Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), Broken Access Control / Insecure Direct Object References (IDOR / BOLA), Security Misconfigurations, Cryptographic Failures, Insecure Deserialization, and Mass Assignment; Solid knowledge of OWASP API Security Top 10 for REST and GraphQL architectures; Deep understanding of identity protocols and access control mechanics (OAuth 2.0, OIDC, JWT, SAML, RBAC/ABAC); Ability to identify complex authorization bypasses, session management flaws, and business logic bugs; Ability to read and analyze modern application code to spot security flaws (will be a plus); Basic understanding of cloud security principles in AWS environments and Kubernetes (K8s) security fundamentals (will be a plus); Intermediate level of English (spoken and written); BSCP, CWES, OSCP, CPTS certifications (will be a plus). It's a perfect match if you have those personal features: Strong communication skills to effectively collaborate with engineering, product, and DevOps teams; Result-oriented mindset; Openness to learning. Our clients offer competitive benefits to support your professional and personal growth, including: Health & Wellness Focus; Global Medical Coverage; Growth Opportunities; Benefits Programs (compensation for the gym/stomatology/psychological service & etc.); Performance-Driven Rewards; Dynamic Work Environment.