AppSec-инженер

Чем предстоит заниматься:

• Проведение анализа защищённости web-, mobile- и API-компонентов информационных систем Банка.
• Ручная верификация и анализ выявленных уязвимостей, определение причин возникновения, эксплуатационности и фактического уровня риска.
• Проведение security review изменений и новых функциональных возможностей на этапах проектирования и разработки.
• Формирование требований по безопасной разработке и рекомендаций по устранению выявленных недостатков.
• Участие в threat modeling и анализе архитектурных решений с точки зрения безопасности приложений.
• Сопровождение устранения уязвимостей совместно с командами разработки, повторная проверка исправлений.
• Участие в развитии и эксплуатации процессов SAST/DAST/SCA, включая настройку правил, анализ результатов и интеграцию проверок в SDLC/CI/CD.
• Участие в развитии внутренних стандартов, методик и чек-листов безопасной разработки.
• Консультирование разработчиков, аналитиков и архитекторов по вопросам Application Security.
• Участие в разборе новых техник атак и оценке их применимости к информационным системам Банка.

Мы ожидаем:

• Законченное высшее техническое образование.
• Базовые навыки администрирования операционных систем Linux, Windows.
• Уверенные навыки: BurpSuite , решения классов SAST/DAST, Postman
• Системное и аналитическое мышление, самостоятельность, умение аргументировать риски как на языке бизнеса, так и на языке разработки.
• Знание принципов безопасной разработки SSDLC, уверенное знание OWASP top 10, OWASP API Security Top 10.
• Понимание основных классов уязвимостей и способов их эксплуатации и устранения.
• Понимание механизмов аутентификации и авторизации, управления сессиями, принципов безопасного хранения и передачи чувствительных данных.
• Навыки ручного и автоматизированного анализа защищенности.
• Умение валидировать результаты автоматизированных средств анализа, отсекать шум, оценивать эксплуатируемость и фактический риск уязвимости.
• Умение читать и анализировать исходный код как минимум на уровне, достаточном для поиска причин уязвимости и обсуждения исправления с разработчиком.
• Будет плюсом : опыт работы пентестером, участие в bugbounty, ctf