Старший инженер по безопасности приложений

Что предстоит делать

Мы расширяем нашу команду Application Security, и нам нужен человек, который не только обладает опытом, но и разделяет нашу приверженность совершенству. Цель роли: Наша цель — гарантировать, что мы развертываем безопасное программное обеспечение в production без лишних узких мест, что приложения должным образом защищены, а уязвимости безопасности, как только они обнаружены, устраняются разработчиками. В роли Senior Application Security Engineer вы будете играть ключевую роль в обеспечении безопасности наших приложений на протяжении всего жизненного цикла разработки программного обеспечения (SDLC). Вы будете тесно сотрудничать с продуктовыми командами для выявления, анализа и устранения уязвимостей безопасности, внося вклад в создание надежных и устойчивых продуктов. Ключевые обязанности: Взаимодействие с продуктовыми командами на этапе проектирования для проведения сессий моделирования угроз и оценки рисков, преобразование сложных угроз безопасности в четкие, выполнимые требования безопасности. Выполнение углубленного ручного ревью кода критически важных приложений для выявления сложных логических уязвимостей в рамках оценки безопасности методом white-box. Планирование, проектирование, внедрение, автоматизация и (при желании) поддержка инструментов AppSec. Вклад в создание общеорганизационных процессов безопасной разработки и развертывания кода. Триаж выявленных уязвимостей безопасности, предоставление четких и выполнимых описаний и обеспечение того, чтобы эти находки были должным образом обработаны и устранены. Управление программой bug bounty, взаимодействие с исследователями и внутренними командами для устранения обнаруженных уязвимостей. Взаимодействие с командами Dev/QA на протяжении всего жизненного цикла разработки для улучшения состояния безопасности приложения путем предоставления экспертных консультаций, непрерывного обмена знаниями и практических рекомендаций по безопасности. Требуемый опыт: 5+ лет опыта в области Application Security. Знание процессов и лучших практик безопасной разработки. Глубокое понимание механизмов безопасности веб-приложений (например, как на самом деле работает веб? Что такое SOP и зачем нужен CORS? Что такое CSP?). Глубокое понимание распространенных уязвимостей веб-приложений (например, OWASP Top 10) и наиболее эффективных способов их предотвращения. Знание принципов безопасной архитектуры и проектирования систем/приложений. Понимание современных угроз для высокопроизводительных веб-приложений, которыми ежедневно пользуются миллионы пользователей. Понимание современных паттернов аутентификации/авторизации (OAuth, OIDC, JWT и т.д.). Практический опыт выявления уязвимостей с помощью оценки безопасности и ревью безопасного кода, а также способность проводить глубокий анализ первопричин для внедрения системных исправлений. Высшее образование в области компьютерных наук, информационной безопасности или смежной области, или эквивалентное сочетание образования и опыта. Владение английским и русским языками на уровне upper-intermediate (B2+). Желательно: Увлеченность программированием. Технические знания в области безопасности сетей и операционных систем. Практический опыт DevSecOps. Опыт участия в программах bug bounty и/или CTF. Глубокие знания инструментов SAST/DAST, включая их настройку. Соответствующие сертификаты (например, OSWE, GWEB и т.д.). Наши преимущества: Частная медицинская страховка Спортивные льготы Комплексная программа ментального здоровья Бесплатные уроки английского языка (онлайн) Курсы местного языка Оплачиваемый отпуск Поддержка по отпуску по уходу за ребенком Вознаграждения по реферальной программе Повышение квалификации, внутренние воркшопы и участие в профессиональных конференциях и корпоративных мероприятиях