Просмотр вакансии

Проведение анализа защищенности (пентест) внешнего периметра и приложений;

Тестирование веб-приложений, API-протоколов;

Участие в процессе контроля уязвимостей;

Формирование и развитие методологии тестирования, стандартов проведения работ и требований к отчётности;

Разработка рекомендаций и контроль устранения выявленных уязвимостей;

Написание отчётной документации по итогам проведённых работ.

Обладание глубокими, фундаментальными знаниями в области ИБ;

Опыт практического тестирования на проникновение веб-приложений от 3 лет, в том числе в роли ведущего специалиста по проектам;

Глубокое знание OWASP Top 10, методологии OWASP WSTG, стандарта верификации OWASP ASVS;

Способность самостоятельно определять методологию и объём работ исходя из специфики тестируемой системы;

Опыт выявления и эксплуатации основных классов веб-уязвимостей: инъекции (SQL, командные, SSTI), XSS, SSRF, IDOR/BOLA, XXE, небезопасная десериализация, недостатки аутентификации и управления сессиями, LFI/RFI, логические уязвимости (обход бизнес-логики, манипуляции с финансовыми операциями, состояния гонки);

Уверенное владение Burp Suite, включая разработку расширений;

Понимание принципов работы веб-технологий: HTTP(S), TLS, управление сессиями, CORS, CSP, JWT, OAuth 2.0 / OpenID Connect, SAML;

Навыки анализа исходного кода (PHP, Java, JavaScript, Python) для выявления уязвимостей; Навыки разработки скриптов автоматизации на Python и (или) Bash;

Навыки разработки скриптов автоматизации на Python и (или) Bash

Будет преимуществом:

Опыт пост-эксплуатации и развития вектора атаки от внешнего веб-приложения во внутреннюю сеть; готовность развиваться в направлении Red Team;

Наличие профильных сертификатов подтвержающих навыки в red team/pentest;

Опыт работы в финансовом секторе;

Участие в CTF, BugBounty;

Опыт наставничества;

Опыт тестирования защищённости мобильных приложений (Android, iOS)