Senior Security Operations Engineer (Python)

Сейчас мы активно ищем коллегу – Application Security Engineer для работы в любом удобном для вас формате (удаленно, гибридно или из офиса).

Задачи, которые предстоит выполнять:

• Поддержка и развитие процессов безопасной разработки.
• Проведение аудитов безопасности и ревью продуктовых сервисов и приложений.
• Разработка продуктовых требований по безопасности.
• Автоматизация рутинных задач и разработка инструментов.
• Разбор отчётов в программах Bug Bounty.
• Помощь разработчикам в выборе безопасных решений и написании безопасного кода.

Мы ожидаем:

• Опыт работы в области Application Security и/или DevSecOps от двух лет.
• Понимание причин возникновения и способов устранения/митигации распространённых уязвимостей (OWASP Top 10, OWASP Mobile Top 10, CWE Top 25).
• Понимание современного цикла разработки, процессов, практик и инструментов для обеспечения безопасности приложений.
• Опыт анализа защищённости веб- и мобильных приложений.
• Навыки работы и выстраивания процессов с распространёнными классами инструментов DevSecOps (SAST, SCA, DAST и т. п.).
• Владение одним из языков программирования: JS, Go, PHP, .Net, C#, C++, Python.

Будет плюсом:

• Навыки моделирования угроз и оценки рисков с использованием распространённых методологий (STRIDE, DREAD и т. п.).
• Знание и опыт имплементации подхода Secure By Design/Default.
• Знание основ операционных систем, современных облачных технологий и систем контейнеризации, методов обеспечения безопасности (Docker, Kubernetes, AWS и т. д.).
• Опыт участия в Bug Bounty и CTF, наличие собственных CVE.
• Наличие профильных сертификатов (OSCP, OSWE, CDP и т. п.).
• Опыт выступления на профильных конференциях и/или написания статей.
• Опыт разработки и внедрения собственных прикладных инструментов.
• Хорошее понимание особенностей клиент-серверного взаимодействия, обработки запросов, аутентификации, авторизации и управления сессиями.

Что мы предлагаем:

• Работу в аккредитованной IT-компании.
• Расширенный полис ДМС.
• Доплаты по больничным листам и days off.
• Тренажёрный зал и душевые в офисе.
• Компенсацию спорта.
• Компенсацию питания.
• Подарки и выплаты сотрудникам на значимые даты (первый день в компании, день рождения, свадьба, рождение детей).
• Комнаты отдыха с настолками, приставками, игровыми автоматами/столами.
• Релакс-зоны с массажными креслами Yamaguchi и топовыми кофемашинами.
• От 500 до 1000 ед. игрового золота на аккаунт в игре ежедневно.
• Гибкое начало дня: приходим в офис с 8 до 11, уходим с 17 до 20.

О команде

Наша команда Red Team занимается тестированием на проникновение и аудитом безопасности продуктов: веб-приложений, сетей, мобильных решений. Сейчас мы ищем специалиста в направлении Мобильной безопасности, Сетевой безопасности и Web-безопасности.

Ваши задачи:

• Тестирование на безопасность мобильных и веб-приложений, серверов и корпоративных сетей
• Тестирование на проникновение в информационные системы
• Участие в аудитах организаций
• Написание отчетов по найденным уязвимостям и т.д.
• Постоянное развитие по вашему направлению

Требуемые навыки и умения по направлению «Безопасность веб-приложений»

• Знание уязвимостей OWASP Top 10 и умение их находить и эксплуатировать,
• уметь работать с популярными фреймворками и знать их особенности (WordPress, Joomla, Laravel, ASP.NET /Core и т.д.)

Будет плюсом:

• опыт обхода систем защиты, WAF,
• опыт разработки веб-приложений,
• умение анализировать исходного кода на уязвимости,
• Профильные сертификаты

Требуемые навыки и умения по направлению «Безопасность компьютерных сетей»

• проведение тестов на проникновение на среды Active Directory,
• знание и умение проводить сетевые атаки (Sniffing, Spoofing, атаки на сети 802.11),
• понимание и умение проэксплуатировать уязвимости систем Linux и Windows, методы эскалации привилегий в данных системах,
• понимание методов продвижения по сети, Pivoting и Tunneling,
• знания уязвимостей популярных сетевых сервисов (SSH, FTP, SNMP, SMTP, SMB и т.д.).

Будет плюсом:

• опыт работы с С2 фреймворками,
• безопасность контейнеризации (Docker, Kubernetes),
• практические навыки обхода систем защиты хостов и антивирусов (MS Defender, AMSI, AppLocker, AppArmor, т.д.),
• Профильные сертификаты

Требуемые навыки и умения по направлению «Безопасность мобильных приложений»

• Умение анализировать мобильных приложений на технологиях Java/Kotlin, Flutter, .NET/Mono методами SAST/DAST,
• Знание OWASP Top 10 и OWASP Mobile Top 10,
• Умение тестировать Web API.

Будет плюсом:

• Умение анализировать низкоуровневые исходники на таких языках, как Dart, Go, C/C++ и т.д.,
• Опыт разработки мобильных приложений,

• Профильные сертификаты.

Мы предлагаем:

• Официальное трудоустройство по ТК РУз

• Комфортный офис: тренажерный зал, обеды, парковка

• Финансирование профессионального обучения и поездок

• Гибкий выбор направления развития

• Работа с реальными продуктами, а не «тестовыми приложениями»

Обязанности:

Техническое руководство комплексными проектами по ИБ, а также комплексными проектами в части вопросов обеспечения ИБ в составе ИТ проектов в роли технического лидера – главного инженера проекта, в том числе:

• Участие в подготовке бюджетных оценок стоимости проектов, проектов контрактов в части ТЗ и календарных планов, подготовке проектных команд с привлечением работников Компании и подрядчиков;
• Формирование архитектуры систем (в том числе, в условиях неопределенности, недостаточности исходных данных и в сжатые сроки);
• Участие в планировании и организации выполнения работ, декомпозиции и постановке конкретных задач сотрудникам и подрядчикам, входящим в проектную команду, контроле качества работ и изменений в проекте, взаимодействии с подрядчиками и Заказчиком, согласовании результатов с Заказчиком;
• Участие во встречах с Заказчиком и подрядчиками, анализ проблематики Заказчика, декомпозиция задач, формирование технических решений, подготовка требований и формирование пула проектов для включения в программы проектов Заказчиков (в том числе, в условиях неопределенности, недостаточности исходных данных и в сжатые сроки);
• Разработка архитектуры нетиповых и комплексных решений по обеспечению информационной безопасности, как для отдельных проектов, так и формирование ее по результатам анализа комплексных проектов;
• Организация и контроль процесса подготовки к выполнению, а также исполнения проектов или программы проектов заказчиков проектными командами;
• Выполнение требований локально-нормативных актов Компании;
• Отчетность по фактически отработанному времени в соответствии с установленными в Компании правилами.

Требования:

• Высшее техническое образование;
• Опыт работы в роли системного архитектора/главного инженера проектов/ведущего инженера по ИБ от 3 лет;
• Практический опыт проектирования комплексных систем защиты информации (конфиденциальная информация, персональные данные), включая защиту сред виртуализации, защиту распределенных сетей передачи данных, защиту многопользовательских информационных систем, SOC, защиту ЦОД;
• Экспертное знание руководящих документов ФСТЭК России и ФСБ России в области защиты конфиденциальной информации, персональных данных, государственных информационных систем, в том числе 21-й, 17-й / 117-й, 31-й приказы ФСТЭК России, ГОСТы в области защиты информации, руководящие и методические документы ФСБ России, ФСТЭК России;
• Уверенные знания в области сетевых технологий, вычислительной техники, серверной виртуализации;
• Глубокие знания и практический опыт работы с различными СЗИ;
• Практический опыт разработки проектной и рабочей документации по защите информации в ГИС;
• Знание английского языка на техническом уровне;
• Личные качества: ответственность, способность находить общий язык со специалистами и руководителями различного уровня, ориентация на результат, умение работать в многозадачном режиме, планирование и организация деятельности.

Условия:

• Официальное оформление в аккредитованную ИТ-компанию;
• Конкурентный оклад, премии по результатам работы;
• Сильная команда экспертов, которые всегда готовы помочь и поделиться знаниями;
• Возможность работать над передовыми продуктами в сфере кибербезопасности;
• Перспективы для профессионального и карьерного продвижения;
• Корпоративные мероприятия, путешествия, спортивные активности онлайн и оффлайн (онлайн-марафоны, бег, йога, волейбол, лыжи, и др.).

Социальный пакет:

• ДМС со стоматологией в лучших клиниках России, возможность подключить родственников по корпоративным ценам;
• Доплата больничных и отпусков до 100% от оклада (14 дней в году), 10 оплачиваемых day-off на случай форс-мажора;
• Возможность бесплатного обучения: внешние обучения, профильные конференции, а также наши внутренние курсы и электронная корпоративная библиотека с сотнями книг;
• Скидки от компаний-партнеров: спорт, английский, психолог, интернет и многое другое;
• Материальная помощь при важных событиях в жизни (заключение брака, рождение детей и другое).