Специалист по управлению уязвимостями и внешней поверхностью атаки

АО «Акрихин» развивает процесс управления уязвимостями и контроль внешней поверхности компании.

В инфраструктуре используются внутренние и внешние информационные системы, облачные ресурсы, публичные веб-сервисы и сайты, часть которых находится вне основного корпоративного периметра. Одной из задач развития ИБ является переход от отдельных сканирований к полноценному процессу: обнаружение активов и уязвимостей → оценка риска → назначение владельца → SLA устранения → контроль исправления → отчетность.

Мы ищем специалиста по управлению уязвимостями и внешней поверхностью атаки, который станет внутренним владельцем VM/EASM-процесса и будет отвечать не только за обнаружение проблем, но и за их фактическое устранение совместно с ИТ, владельцами систем и подрядчиками.

В зоне ответственности также будут безопасность внешних веб-ресурсов и контроль эффективности WAF/AntiDDoS для критичных сервисов.

• Развивать и сопровождать процесс управления уязвимостями.
• Организовывать регулярное сканирование внутренних и внешних ИТ-активов.
• Развивать контроль внешней поверхности атаки компании (EASM).
• Выявлять неизвестные или неконтролируемые внешние активы, домены, сервисы, сертификаты и потенциально опасные экспозиции.
• Анализировать результаты сканирования и приоритизировать уязвимости с учетом CVSS, критичности актива, эксплуатируемости и бизнес-риска.
• Назначать владельцев устранения совместно с ИТ и бизнесом и контролировать выполнение SLA.
• Проверять фактическое устранение уязвимостей и исключать формальное закрытие задач.
• Управлять исключениями и компенсирующими мерами для уязвимостей, которые невозможно устранить в нормативный срок.
• Формировать регулярную отчетность по уязвимостям, просрочкам, критичным активам и динамике риска.
• Участвовать в выборе, внедрении и развитии сканнер уязвимостей и EASM-решений.
• Участвовать в контроле защищенности внешних сайтов и интернет-доступных сервисов.
• Участвовать в настройке и контроле эффективности WAF и AntiDDoS для критичных ресурсов.
• Координировать внешние пентесты и контролировать устранение результатов.
• Участвовать в определении безопасного подхода к управлению уязвимостями для производственного / АСУ ТП-контура.
• Взаимодействовать с командой реагирования на инциенты при обнаружении активно эксплуатируемых уязвимостей или признаков компрометации.
• Поддерживать актуальный перечень внешних активов и их владельцев.

• Опыт работы в управлении уязвимостями, анализе защищенности, пентестах или смежном направлении от 3 лет.
• Практический опыт работы со сканерами уязвимостей.
• Хорошее понимание CVE, CVSS, CWE и принципов управления уязвимостями.
• Понимание того, почему CVSS недостаточно для определения реального приоритета исправления.
• Опыт анализа результатов сканирования и верификации уязвимостей.
• Понимание Windows, Linux, сетевых сервисов, веб-приложений и базовых принципов сетевой безопасности.
• Умение взаимодействовать с администраторами и владельцами систем по вопросам устранения уязвимостей.
• Понимание процессов управления обновлениями и конфигурациями.
• Умение строить регулярный процесс контроля SLA и просроченных уязвимостей.
• Понимание внешней поверхности атаки и типовых рисков публично доступных сервисов.
• Готовность отвечать за результат процесса, а не только за запуск сканирования и формирование отчёта.

Будет плюсом:

• Практический опыт с MaxPatrol VM, Qualys, Tenable/Nessus, Rapid7, XSpider или аналогичными решениями.
• Опыт использования EASM/ASM-платформ.
• Практический опыт работы с WAF и AntiDDoS.
• Знание Burp Suite, Nmap, Nuclei и других инструментов анализа защищенности.
• Навыки Python/PowerShell/Bash для автоматизации.
• Опыт самостоятельной проверки найденных уязвимостей.
• Опыт организации внешних пентестов.
• Опыт работы с производственными или OT/АСУ ТП-системами.
• Опыт построения процесса управления уязвимостями с нуля.

Мы предлагаем:

• Конкурентоспособную официальную заработную плату;
• Участие в корпоративной программе премирования;
• Ежегодный пересмотр на основе принципа "pay for performance";
• Добровольное медицинское страхование со стоматологией;
• Страхование жизни, страхование от несчастного случая;
• Оплата мобильной связи и предоставление мобильного телефона, ноутбука;
• Участие в развивающих корпоративных программах в рамках индивидуальных планов развития;
• Завтраки в офисе компании;
• Удобное расположение офиса - 5 мин. от метро Курская.