Pentester/Пентестер

Проведение пентестов веб-приложений (включая нестандартную бизнес-логику и client-side атаки) и сетевой инфраструктуры, а также анализ защищенности API (REST, GraphQL).

Активный поиск и проверка 1-day эксплойтов, эксперименты с новыми векторами атак и внедрение передовых методов поиска уязвимостей в рабочие процессы отдела.

Валидация результатов, фильтрация ложных срабатываний и подготовка максимально точных отчетов с четкими рекомендациями по исправлению и PoC-кодом.

Участие в регулярных мероприятиях по эмуляции действий злоумышленников (Red Team), анализ актуальных киберугроз.

Участие во внутренних и внешних аудитах для проверки соответствия систем стандартам информационной безопасности.

Уверенное знание OWASP Top 10, опыт поиска уязвимостей бизнес-логики и сложных client-side атак (XSS, CSRF, DOM-based, Clickjacking).

Владение Burp Suite (включая создание собственных расширений/скриптов), опыт работы с ffuf, sqlmap, Nmap, dirsearch и другими инструментами для фаззинга и разведки.

Знание HTML, JavaScript на уровне чтения и понимания кода, знакомство с основами серверных языков (PHP, Python, Node.js) для поиска уязвимостей на уровне исходников.

Глубокое понимание принципов работы REST и GraphQL, опыт проверки механизмов авторизации (JWT, OAuth), поиск SSRF, IDOR, RCE, SQL-инъекций в API.

Способность быстро разбираться в чужом коде и архитектуре приложений, находить неочевидные уязвимости. Умение писать четкие отчеты с практическими PoC и рекомендациями по исправлению.