Кирилл Подлубный

Ведущий эксперт по безопасности приложений

Выступаю главным экспертом по стратегии AppSec, проводя комплексный анализ рисков, моделирование угроз и проверку безопасности архитектуры критически важных банковских систем. Возглавляю инициативы жизненного цикла безопасной разработки (SDLC), устанавливая контрольные точки (gates) по уязвимостям, рабочие процессы по устранению недостатков и фреймворки сотрудничества между командами безопасности и разработки. Оцениваю и проектирую ландшафт инструментов AppSec, определяя метрики для управления жизненным циклом уязвимостей во внутренних и внешних приложениях.

Специалист по безопасности приложений (Контракт)

Спроектировал и создал корпоративную программу безопасности приложений с нуля в условиях жестких ресурсных ограничений. Построил и интегрировал автоматизированные конвейеры DevSecOps с использованием open-source инструментов SAST, DAST и SCA. Разработал всеобъемлющую внутреннюю документацию, базовые стандарты (baselines) безопасности и плейбуки для поддержки инструментов и сортировки (triage) уязвимостей. Успешно развернул инструменты сканирования в пилотных проектах, значительно ускорив обнаружение уязвимостей до развертывания в рабочей среде (production).

• Спроектировал и создал корпоративную программу безопасности приложений с нуля в условиях жестких ресурсных ограничений
• Построил и интегрировал автоматизированные конвейеры DevSecOps с использованием open-source инструментов SAST, DAST и SCA
• Успешно развернул инструменты сканирования в пилотных проектах, значительно ускорив обнаружение уязвимостей до развертывания в рабочей среде (production)

Пентестер / Инженер по управлению уязвимостями

Проводил расширенное тестирование на проникновение критически важных систем (Mission-Critical), сложных REST/GraphQL API и релизов розничного SuperApp, выявляя серьезные логические уязвимости и недостатки аутентификации. Управлял жизненным циклом корпоративных уязвимостей через Qualys; приоритизировал, сортировал и отслеживал их устранение на внутреннем и внешнем периметрах. Спроектировал и реализовал Proof-of-Concept (PoC) для решений по безопасности контейнеров, платформ Threat Intelligence, BAS (Breach and Attack Simulation), Honeypot'ов и инструментов ASOC. Проводил профессиональное внешнее тестирование на проникновение для корпоративных клиентов в рамках Операционного центра информационной безопасности (ОЦИБ). Наставлял новых сотрудников, разрабатывая технические задания и среды для отбора на стажировку по ИБ.

• Выявлял серьезные логические уязвимости и недостатки аутентификации в критически важных системах
• Спроектировал и реализовал Proof-of-Concept (PoC) для решений по безопасности контейнеров, платформ Threat Intelligence, BAS, Honeypot'ов и инструментов ASOC

Аналитик SOC / Стажер по информационной безопасности

Проводил оценку уязвимостей инфраструктуры, аудит конфигурации Active Directory и базовую проверку безопасности веб-приложений. Выполнял тонкую настройку правил корреляции SIEM (QRadar), политик EDR/XDR и сценариев threat-hunting, достигнув значительного снижения процента ложных срабатываний.

• Достиг значительного снижения процента ложных срабатываний SIEM (QRadar) за счет тонкой настройки правил корреляции