Технический эксперт ИБ/ Разработчик ИБ (Go/Python)

МТС — это цифровая экосистема. Мы создаём и развиваем сервисы в сфере мобильной связи, больших данных, искусственного интеллекта, облачного хранения, медиа и финансов — все они делают жизнь людей проще и интереснее.

Кого мы ищем

Senior Penetration Testing Specialist в продукт CICADA8.

Описание продукта

Команда выполняет работы в области наступательной кибербезопасности. Выполняем проекты различного уровня сложности и специфики от класических тестов на проникновение до симуляций кибератак(red/purple team) и анализа защищенности аппаратной части.

Чем предстоит заниматься

• Проведение проектов по анализу защищённости и тестам на проникновение внешнего периметра.
• Исследование инфраструктуры: домены , ASN , приложения, облачные сервисы.
• Анализ исходного кода, поиск и верификация уязвимостей.
• Разработка и адаптация инструментов для автоматизации поиска и эксплуатации уязвимостей.
• Участие в Red Team-оценках и моделировании атак.
• Поиск 0-day уязвимостей, разработка PoC и 1-day эксплойтов.
• Подготовка отчётов с воспроизведением и рекомендациями по устранению.
• Участие в обучение, развитие внутренних методик и базы знаний команды.

Что нужно для этой работы

• От 1 года опыта.
• Опыт проведения атак на внешний периметра и эксплуатации уязвимостей на уровне инфраструктуры и приложений.
• Глубокое понимание веб-технологий: HTTP/HTTPS, REST/GraphQL, WebSockets, CORS, механизмы сессий, авторизация (JWT, OAuth2, SSO).
• Опыт поиска и эксплуатации server-side уязвимостей: RCE, SQLi, SSRF, XXE, LFI/RFI, Path Traversal, Race Conditions, Insecure Deserialization, Business Logic Bugs.
• Уверенное чтение и анализ исходного кода типовых для веб стэка.
• Windows и Linux — внутренняя архитектура, типовые механизмы безопасности, служебные компоненты, средства администрирования.
• Сетевые технологии — протоколы TCP/IP, DNS, SMB, RPC, HTTP(S), VPN, VLAN, маршрутизация и фильтрация трафика.
• Навыки разработки PoC/эксплойтов и инструментов (Python, Go, PowerShell, Bash).
• Понимание техник обхода защиты и скрытия активности при выполнении атак.
• Владение инструментами: Burp Suite Pro, Nmap, sqlmap, wfuzz, Metasploit, BloodHound, NetExec, Wireshark, IDA/Ghidra и др.
• Знание MITRE ATT&CK и методов построения TTP-сценариев.
• Приветствуется: OSCP, CRTO, OSEP, eCPPT, публикации CVE/БДУ, bug bounty-репорты, собственные разработки и исследования.

Что предлагаем

• Гибридный или удаленный формат работы.
• ДМС с первого месяца работы — 100% покрытие всех медицинских расходов, включая стоматологию.
• Выгодные скидки и специальные предложения от партнеров на фитнес, курсы английского и другие полезные активности.
• Возможность регулярно повышать свой скилл: участие во внешних мероприятиях, митапах, обучениях, возможность ежегодной сдачи сертификаци.
• Работа в команде опытных специалистов уровня Senior, победителей CTF соревнований.
• Открытая и дружелюбная корпоративная культура, где каждый чувствует себя частью единой команды, общается на равных и всегда на «ты». Мы ценим вклад каждого, поддерживаем инициативность и создаём комфортные условия для профессионального и личностного роста.

• Разработка эксплуатационной, организационно-распорядительной документации. Аттестация объектов информатизации.

• Знания, умения и наличие опыта работы по разработке проектной, эксплуатационной, организационно-распорядительной документации на системы защиты информации автоматизированных систем, аттестации объектов информатизации.
• Образование: Бакалавр, специалист в области информационных технологий, информационной безопасности, технических (естественных) наук;
• Знания, умения и наличие опыта работы со средствами защиты информации.
• наличие опыта работы: будет преимуществом;
• уровень пользования ПК профессиональный пользователь.

Условия:

• Оформление по ТК РФ;
• Предоставляется право на получение отсрочки от призыва на военную службу;
• Осуществляется бронирование работников, пребывающих в запасе ВС РФ;
• Корпоративный соцпакет (ДМС, матпомощь. компенсация питания);
• Перспективы профессионального, карьерного и финансового роста;
• График работы – пятидневная рабочая неделя:начало рабочего дня - 08:45, окончание 17:45 (16:45 в пятницу). Обеденный перерыв: 12:45 – 13:33.;
• Современные технологии бизнес-процессов и коммуникации;
• Эргономичное рабочее место и развитая социально-бытовая инфраструктура;
• Внутрикорпоративное обучение, обучение за счёт средств предприятия;
• Участие в конгрессно-выставочных мероприятиях;
• Насыщенная мероприятиями жизнь коллектива;
• Организация находится в Центральном районе города Твери;
• Бесплатная автостоянка на территории компании;
• Льготные условия кредитования для сотрудников Предприятия от Банков с Госучастием;
• Дополнительные выплаты мотивационного (стимулирующего) характера: ежемесячная премия, годовая премия.
• Командировки.
  Заработная плата обсуждается на собеседовании.

ЗАО "НОРСИ-ТРАНС" является аккредитованной организацией, осуществляющей деятельность в области информационных технологий.

Мы занимаемся разработкой и внедрением информационно-аналитических систем. Реализуем импортозамещение в области серверного и телекоммуникационного оборудования, а также разрабатываем масштабные программные комплексы.

Сейчас мы в поиске Ведущего инженер разработки безопасного программного обеспечения / AppSec Process в нашу команду

Обязанности:

• Разработка и актуализация положения/регламентов РБПО, матрицы ролей RACI;
• План внедрения по этапам: report-only → soft gate → hard gate;
• Организация пилотов: критерии успеха, DoD, ретро, масштабирование на другие команды;
• Программа champions / обучение разработке (вводное + точечное);
• Метрики отдела: покрытие CI контролями, MTTR Critical, долг, exceptions;
• Согласование порогов и политик с руководителем;
• Программа security champions: роль, ритм, материалы, эскалация;
• как команда «подключается к РБПО» (чеклист онбординга продукта);
• Участие в security review процессов (не обязательно глубокий эксплойт);
• Связка с ГОСТ Р 56939: живые практики и работа с методологией.

• Опыт от 3 лет в AppSec / DevSecOps / SSDLC / product security (или ИБ с упором на разработку);
• Опыт внедрения процессов в инженерные команды;
• Понимание типичного контура: Git → MR/CI → артефакты → registry → CD;
• Умение писать рабочие регламенты и короткие плейбуки;
• Взаимодействие: статусы с командами, конфликт «скорость vs контроль»;
• Расширенное понимание SCA/SAST/secrets/SBOM и зачем они в MR;
• Опыт доведения пилота до стандарта.

• Конкурентную заработную плату, соответствующую вашему опыту и навыкам;

• Работу в аккредитованной ИТ-компании;

• Возможность профессионального роста и развития;

• Офис в шаговой доступности от ст.метро Савёловская;

• Работу в технологичном коллективе, где ценится ваш вклад и идеи.