Специалист по безопасной разработке (Appsec, статика)

• Проводить статический анализ C/C++ кода с использованием инструментов (SVACE, codechecker, SonarQube, АК-ВС-3, semgrep, bandit, njsscan и др.) — разметка ложных срабатываний, идентификация критических уязвимостей, включая CVE-уязвимости;

• Разрабатывать, тестировать и подготавливать патчи безопасности для устранения выявленных уязвимостей;
• Взаимодействовать с upstream-разработчиками: подавать баг-репорты, сопровождать исправления, участвовать в обсуждении CVE и релизных процессах;
• Участвовать в кластерах LVC (ИСП РАН) — sdl-dpi, sdl-dpdk — в роли куратора-специалиста по статическому анализу и CVE, обеспечивая:
• Проведение разметки результатов статического и композиционного анализа, предоставленной участниками консорциума LVC;

• Агрегацию, анализ и интерпретацию данных о выявленных уязвимостях;

• Координацию рабочих процессов, включая планирование спринтов, приоритизацию целей и отчётность по результатам;

• Бэкпортирование исправлений в стабильные и поддерживаемые ветки ПО, обеспечивая совместимость.

Требования:

• Глубокое знание C/C++, понимание типичных уязвимостей (переполнения буфера, use-after-free, race conditions, инъекции и др.);
• Опыт работы с инструментами статического анализа (SAST) и композиционного анализа (SCA);
• Навыки анализа и разметки результатов SAST/SCA — умение отличать истинные уязвимости от ложных срабатываний;
• Опыт подготовки и тестирования патчей, бэкпортирования исправлений в стабильные ветки.

Будет плюсом:

• Знание стандартов безопасной разработки (ГОСТ 56939-2024, ГОСТ Р 71207-2024).
• Опыт работы с SBOM (SPDX, CycloneDX);
• Опыт автоматизации процессов (Python, Bash, CI/CD — Jenkins, GitLab CI);
• Понимание Linux-систем, сборки с помощью CMake/Make, работа с пакетными менеджерами;
• Участие в open-source проектах или патчинге ядра/библиотек.

• Трудоустройство в аккредитованную ИТ компанию с полным соблюдением ТК РФ;
• Гибкий график работы 5/2 с плавающим началом рабочего дня (с 9 до 11 часов);
• Гибридный, либо удаленный формат работы (офисы в г. Москва, Санкт-Петербург или Пенза);
• ДМС (со стоматологией) после 3 месяцев работы в компании;
• Доплата больничных до полной суммы ежемесячного дохода (до 21 дня в год);
• Игровые комнаты, тренажерный зал, душевые, корпоративная футбольная команда, квизы, комнаты отдыха в офисе;
• Возможности для профессионального развития: внутренние и внешние конференции, обучения и тренинги, собственная библиотека.