Стажер в направление безопасности разработки

Что предстоит делать

R-Vision – разработчик надежных систем цифровизации и кибербезопасности. С 2011 года мы создаем технологии, которые помогают организациям эффективно противостоять киберугрозам, поддерживать надежность ИТ‑инфраструктуры и обеспечивать цифровую трансформацию. Мы в поиске стажера в направление безопасности разработки, который готов вместе с нашей командой участвовать в развитии процессов безопасной разработки и автоматизации security-проверок. За время стажировки ты погрузишься в процессы безопасной разработки, будешь работать с результатами автоматических сканеров и внутренних исследований, анализировать безопасность приложений и инфраструктуры, а также участвовать в автоматизации процессов. С нас — крутые менторы и реальный опыт, с тебя — желание учиться и развиваться в области разработки! Пожалуйста, обрати внимание на требования, это важно: • Стажировка ориентирована на обучающихся на 3-4 курсе бакалавриата или 1-2 курс магистратуры. • Рассматриваем обучающихся, которые уже обладают базовой подготовкой в направлениях связанных с бизнес-информатикой, прикладной математикой и компьютерными науками, а также смежными образовательным программами. • Готовность уделять стажировке 40 часов в неделю. • Стажировка рассчитана на 6 месяцев с дальнейшей возможностью роста до младшего специалиста.

• Участие в развитии SSDLC и автоматизации процессов безопасной разработки;
• Подключение и сопровождение security-проверок в GitLab CI по готовым шаблонам;
• Проверка воспроизводимости найденных уязвимостей и сбор дополнительного технического контекста;
• Подготовка предложений по настройке правил сканирования и блокировки сборок;
• Исследование безопасности web-приложений, API, CLI-инструментов и межсервисного взаимодействия;
• Участие в триаже результатов автоматических сканеров, пентестов и внутренних исследований;
• Анализ Dockerfile, Kubernetes-манифестов и Helm-чартов по установленным security-чек-листам;
• Подготовка исправлений для небезопасных конфигураций контейнеров;
• Проверка зависимостей, формирование SBOM и анализ найденных в компонентах уязвимостей;
• Заведение задач на исправление уязвимостей, отслеживание их статуса и проверка устранения;
• Подготовка понятных технических отчетов и рекомендаций для разработчиков.
• Ожидаем от тебя:
• Умение читать и понимать код на JavaScript/TypeScript и Python;
• Практические навыки разработки на Python;
• Умение написать утилиту для работы с файлами, API или результатами сканирования;
• Базовое понимание структуры программного проекта, функций, модулей, зависимостей и интерфейсов;
• Знание основных менеджеров зависимостей и систем сборки используемого стека;
• Понимание необходимости валидации входных данных, обработки ошибок и логирования;
• Умение разобраться в незнакомом участке кода с помощью документации, отладчика и инструментов навигации по проекту;
• Понимание различий между монолитной, модульной и микросервисной архитектурой;
• Умение выделить основные компоненты системы, точки входа и потоки данных;
• Понимание понятия trust boundary;
• Понимание устройства CLI-инструментов и интеграций с API;
• Базовое понимание принципов микросервисной архитектуры;
• Умение добавлять в инструмент валидацию данных, обработку ошибок, таймауты и логирование;
• Базовое понимание OWASP Top 10 и распространенных API-уязвимостей;
• Понимание различий между аутентификацией и авторизацией;
• Базовое знание JWT и механизмов контроля доступа;
• Общее представление об OAuth 2.0, OIDC и RBAC;
• Базовые знания SQL и принципов взаимодействия приложений с базами данных;
• Базовые навыки работы с Git и Linux;
• Знание основных концепций Docker;
• Понимание опасности root- и privileged-контейнеров, docker.sock, hostPath и избыточных capabilities;
• Умение прочитать Kubernetes-манифест и Helm values.
• Будет плюсом:
• Знание Go;
• Умение читать простой код на Rust или C;
• Навыки написания модульных тестов;
• Практический опыт с Burp Suite, OWASP ZAP, Semgrep, CodeQL, Trivy или аналогичными инструментами;
• Написание собственных правил для статических анализаторов или линтеров;
• Опыт создания и анализа SBOM в форматах CycloneDX или SPDX;
• Понимание Kubernetes securityContext, RBAC, NetworkPolicy и Pod Security Standards;
• Знакомство с OPA/Rego, Kyverno или Gatekeeper;
• Понимание техник container escape и опыт их безопасного воспроизведения в лабораторной среде;
• Участие в bug bounty, самостоятельные security-исследования или вклад в open-source инструменты;
• Участие в Attack-Defense CTF, хакатонах, Hack The Box или TryHackMe;
• Опыт анализа безопасности AI/LLM-компонентов;
• Опыт проведения исследований продуктов для сертификации ФСТЭК.

Что предлагаем