DevSecOps/AppSec/инженер по ИБ

Мы ищем специалиста по безопасности ПО с практическим опытом фаззинг-тестирования. Основная задача - настройка, запуск и развитие процессов фаззинга для поиска ошибок и потенциальных уязвимостей в программном обеспечении, а также автоматизация этих процессов и их интеграция в конвейеры безопасной разработки.
Помимо фаззинга, предстоит работать с инструментами статического и динамического анализа, анализом зависимостей и другими инструментами РБПО.

Чем предстоит заниматься

• Настройка и проведение фаззинг-тестирования системного и прикладного ПО с использованием AFL++, libFuzzer и аналогичных инструментов.
• Подготовка окружений для фаззинга: сборка проектов с инструментированием, настройка компиляторов, санитайзеров и параметров запуска.
• Анализ исходного кода и архитектуры приложений для выбора целей фаззинга, определения точек входа и подготовки harness-обёрток для тестируемых компонентов.
• Настройка сбора и анализа покрытия кода, оценка эффективности фаззинга и оптимизация его производительности.
• Интеграция фаззинг-тестирования в CI/CD-конвейеры, разработка скриптов и переиспользуемых компонентов для автоматизации запусков и обработки результатов.
• Проведение статического и динамического анализа кода с использованием SAST/DAST-инструментов, валидация результатов и отсеивание ложных срабатываний.
• Анализ сторонних зависимостей с помощью SCA-инструментов и поиск секретов в исходном коде.
• Участие в развитии процессов безопасной разработки (SSDLC) и сопровождении технических требований ГОСТ Р 56939-2024.

Обязательные требования

• Уверенное владение Linux, командной строкой и инструментами диагностики и отладки.
• Практический опыт настройки и запуска фаззеров, например AFL++ или libFuzzer.
• Понимание принципов coverage-guided fuzzing, механизмов мутации входных данных и влияния покрытия кода на эффективность фаззинга.
• Опыт сборки проектов с инструментированием, работы с компиляторами и санитайзерами, например AddressSanitizer и UndefinedBehaviorSanitizer.
• Навыки программирования или автоматизации на Python и/или Bash.
• Опыт работы с CI/CD-системами (Jenkins, GitLab CI, GitHub Actions или аналогичными) и автоматизации тестирования.
• Понимание принципов статического анализа кода и умение проверять результаты автоматизированных инструментов.

Будет плюсом

• Опыт построения инфраструктуры для параллельного или распределённого фаззинга, управления несколькими агентами и сбора результатов.
• Опыт работы с afl-cov, gcov, llvm-cov или аналогичными инструментами анализа покрытия кода.
• Опыт фаззинга системных библиотек, сетевых сервисов, парсеров, протоколов или компонентов баз данных.
• Опыт работы с SAST-инструментами: Svace, Semgrep, CodeQL, SonarQube, Bandit и другими.
• Опыт работы с DAST-инструментами, Valgrind и санитайзерами.
• Опыт использования Trivy, Dependency-Track, Gitleaks, TruffleHog и аналогичных инструментов.
  

  Что мы предлагаем:

• ​​​​​Стабильность, постоянное трудоустройство в быстрорастущей компании, занимающейся импортозамещением;

• Работа в аккредитованной Минцифры IT-компании, продукты которой находятся в реестре российского ПО;

• Комфорт: нет бюрократии, проводим собеседование в 1, max 2 этапа и быстро даем фидбек, гибкое начало рабочего дня и нет дресс-кода;

• Плавный ввод в должность, период адаптации, наставничество;

• ДМС со стоматологией;

• Внутреннее и внешнее обучение;

• Корпоративная жизнь - совместные образовательные, спортивные и развлекательные мероприятия.