Старший специалист по кибербезопасности

Что предстоит делать

О роли Billease управляет продуктами потребительского кредитования, мерчант-чекаута и цифрового банкинга, обрабатывая конфиденциальные финансовые и персональные данные в масштабе. Мы используем cloud-native микросервисную архитектуру на AWS/EKS, построенную преимущественно на Go и Python, с PostgreSQL/Aurora, Kafka и ClickHouse, а также нативными приложениями для Android и iOS. Мы ищем практикующего Senior Cybersecurity Specialist, который сможет взломать наши системы раньше, чем это сделает кто-либо другой — а затем поможет нам построить их так, чтобы их нельзя было взломать. Это глубоко техническая роль с наступательным мышлением, которая также продвигает практики secure-by-design в инженерии. Вы будете проводить пентесты, искать эксплуатируемые уязвимости в наших приложениях, API, протоколах и инфраструктуре и внедрять современный подход с использованием AI для поиска и триажа security-проблем в масштабе. Это роль individual contributor со значительным влиянием. Вы не будете управлять командой — вы будете тем человеком, к которому инженеры и руководство обращаются по сложным вопросам безопасности. Что вы будете делать Планировать и проводить пентесты и red-team упражнения против веб-приложений, мобильных приложений, API, микросервисов, облачной инфраструктуры и внутренних инструментов. Проводить тестирование безопасности мобильных приложений (Android & iOS) — статический и динамический анализ, runtime-инструментация, обход SSL pinning, анализ локального хранилища и секретов, а также reverse engineering. Обнаруживать и доказывать эксплуатируемость уязвимостей в сетевых и прикладных протоколах (TLS, HTTP/2, gRPC, OAuth2/OIDC, SAML, WebSocket, DNS, mTLS), создавая рабочие PoC и чёткие рекомендации по устранению. Проверять криптографические реализации — управление ключами, конфигурацию TLS, подписание/шифрование токенов, защиту данных при хранении и передаче — и выявлять неправильное использование криптографических примитивов. Проводить secure code review (Go/Python) и threat modeling для новых сервисов и функций; внедрять security-гейты в наши GitLab CI/CD пайплайны. Строить и эксплуатировать AI-assisted security-воркфлоу — автоматизацию recon, триажа, анализа кода и обнаружения уязвимостей для масштабирования покрытия результатов работы ~85 инженеров. Укреплять нашу среду AWS/EKS: IAM, сегментация сети, security posture Kubernetes, безопасность контейнеров и цепочки поставок, управление секретами. Руководить управлением уязвимостями — приоритизировать, отслеживать и верифицировать устранение; снижать количество ложных срабатываний и mean-time-to-fix. Поддерживать compliance и регуляторные требования (PCI DSS, требования BSP, Data Privacy Act / NPC) с помощью доказательств, тестирования контролей и оценок рисков. Реагировать на инциденты: расследовать, локализовывать, проводить root-cause analysis и внедрять превентивные исправления. Наставлять инженеров и повышать общий уровень security-зрелости организации через руководство, инструменты и обучение. Ключевые требования Опыт 5+ лет в offensive security, application security или security engineering с сильным практическим опытом пентестинга. Подтверждённый послужной список обнаружения, эксплуатации и ответственного раскрытия реальных уязвимостей (CVE, bug bounty или задокументированные проекты — плюс). Опыт защиты cloud-native микросервисных сред в продакшене — желательно в fintech, банкинге или другой регулируемой сфере с высоким уровнем доверия. Практический опыт с security-инструментами Вы должны свободно владеть категориями ниже и ведущими инструментами в каждой (мы не ожидаем знания каждого отдельного инструмента, но ожидаем глубокого владения большинством категорий): Тестирование веб-приложений Burp Suite (Pro), OWASP ZAP, Nikto, sqlmap, Acunetix Сканирование сети и уязвимостей Nmap, Nessus, OpenVAS, Qualys, Nexpose, Masscan Эксплуатация / red team Metasploit, Cobalt Strike, Sliver, Impacket, BloodHound Мобильная безопасность MobSF, Frida, Objection, Drozer, apktool, jadx, Hopper, Corellium, Xcode/Android Studio Reverse engineering Ghidra, IDA Pro, radare2 / Cutter, Binary Ninja Фаззинг AFL++, libFuzzer, boofuzz, Jazzer SAST / DAST / SCA Semgrep, SonarQube, Checkmarx, Fortify, Snyk, Bandit (Python), gosec (Go) Безопасность облака и Kubernetes Prowler, ScoutSuite, kube-bench, kube-hunter, Falco, Trivy, Checkov, tfsec/Terrascan Контейнеры и цепочка поставок Trivy, Grype, Clair, Anchore, Cosign / Sigstore Сканирование секретов Gitleaks, TruffleHog Анализ трафика и протоколов Wireshark, tcpdump, mitmproxy Атаки на учётные данные Hashcat, John the Ripper, Hydra SIEM / детектирование Splunk, Elastic Security (ELK), Wazuh Тестирование безопасности мобильных приложений Подтверждённый опыт сквозного тестирования Android и iOS приложений. Статический и динамический анализ, runtime hooking/инструментация (Frida/Objection), обход SSL/TLS pinning, анализ tamper- и root/jailbreak-детекции. Reverse engineering APK/IPA; проверка небезопасного локального хранилища, захардкоженных секретов, небезопасного IPC и злоупотребления deep-link. Знакомство со стандартами мобильной безопасности OWASP MASVS / MASTG. Стандарты и фреймворки безопасности OWASP — Top 10, ASVS, API Security Top 10, MASVS/MASTG, SAMM. PCI DSS (критично для наших платёжных и кредитных потоков). NIST — CSF, SP 800-53, SP 800-63 (цифровая идентификация). ISO/IEC 27001 / 27002, CIS Controls & Benchmarks, SOC 2. Понимание регуляторных ожиданий BSP и Philippine Data Privacy Act (RA 10173 / NPC). Криптография Твёрдое практическое понимание современной криптографии и, что не менее важно, того, как её неправильно используют: Симметричная: AES (GCM, CBC, режимы и подводные камни IV/nonce), ChaCha20-Poly1305. Асимметричная: RSA, ECC (ECDSA, EdDSA/Ed25519, ECDH). Хеширование и KDF: SHA-2/3, HMAC, bcrypt, scrypt, Argon2, PBKDF2. Обмен ключами и PKI: Diffie-Hellman/ECDH, TLS 1.2/1.3, жизненный цикл сертификатов, mTLS. Токены: JWT/JWS/JWE — подписание, шифрование и распространённые уязвимости (alg confusion, слабые ключи, replay). Управление ключами и секретами с AWS KMS / HSM. Эксплуатация протоколов Способность анализировать и находить эксплуатируемые уязвимости в сетевых и прикладных протоколах: TCP/IP, TLS/SSL, HTTP/HTTPS, HTTP/2, gRPC, WebSocket, DNS, mTLS. Атаки на протоколы аутентификации/авторизации — OAuth 2.0, OIDC, SAML (кража токенов, злоупотребление scope, redirect- и confusion-атаки). Тестирование безопасности API для REST, GraphQL и gRPC (IDOR/BOLA, mass assignment, инъекции, злоупотребление rate-limit и бизнес-логикой). AI-driven security (продвинутая специализация) Мы ищем человека, который относится к AI как к мультипликатору силы для security-работы — а не как к модному слову. Вы должны уметь продемонстрировать конкретный AI-воркфлоу для поиска security-проблемы. Например: Пример воркфлоу, о котором мы ожидаем, что вы сможете рассказать (или продемонстрировать вживую): Загрузить исходный код целевого сервиса (Go/Python) и определения OpenAPI/proto. Агентный анализ — управлять LLM-агентом (например, через скриптовый tool-calling) для картирования потоков данных, идентификации недоверенных входов и пометки кандидатных классов уязвимостей (инъекции, обход аутентификации, SSRF, IDOR). Сопоставить находки LLM с выводом SAST (Semgrep/gosec/Bandit) для сокращения ложных срабатываний и ранжирования по эксплуатируемости. Сгенерировать и валидировать PoC — попросить агента составить exploit-запрос, выполнить его против staging-цели и динамически подтвердить проблему. Создать diff с исправлением и читаемый человеком отчёт Дополнительные ожидания по AI-безопасности: Использование LLM для code review, триажа логов/аномалий и генерации правил детектирования. Понимание безопасности самих LLM/AI-систем — prompt injection, эксфильтрация данных, риски модели/цепочки поставок (OWASP Top 10 for LLM Applications), актуальное для наших собственных AI-функций. Программирование Сильные навыки Python или Go — вы создаёте собственные инструменты, автоматизируете тестирование и читаете/отлаживаете наши продакшн-сервисы. (Наш стек — Go + Python, поэтому вы будете ревьюить реальный код, а не просто запускать сканеры.) Уверенное владение Bash, Git/GitLab CI, Docker и манифестами Kubernetes. Будет плюсом Предыдущий опыт в fintech, банкинге или платежах под PCI DSS. Послужной список в bug bounty или опубликованные исследования / CVE. Опыт с Kafka, ClickHouse или event-driven архитектурами с точки зрения безопасности. Опыт detection engineering и threat hunting. Безопасность infrastructure-as-code (Terraform) и автоматизация облачной безопасности. Как выглядит успех (первые 6 месяцев) Проведён как минимум один полномасштабный пентест по нашей мобильной + API поверхности с приоритизированными и устранёнными находками. Security-гейты интегрированы в CI/CD с измеримо меньшим количеством ложных срабатываний. Работающий AI-assisted воркфлоу триажа/анализа, используемый командой. Чёткое, ранжированное по риску представление о наших главных уязвимостях и отслеживаемый путь к их закрытию.