Application Security Engineer (Python, PHP)

О команде

Наша команда Red Team занимается тестированием на проникновение и аудитом безопасности продуктов: веб-приложений, сетей, мобильных решений. Сейчас мы ищем специалиста в направлении Мобильной безопасности, Сетевой безопасности и Web-безопасности.

Ваши задачи:

• Тестирование на безопасность мобильных и веб-приложений, серверов и корпоративных сетей
• Тестирование на проникновение в информационные системы
• Участие в аудитах организаций
• Написание отчетов по найденным уязвимостям и т.д.
• Постоянное развитие по вашему направлению

Требуемые навыки и умения по направлению «Безопасность веб-приложений»

• Знание уязвимостей OWASP Top 10 и умение их находить и эксплуатировать,
• уметь работать с популярными фреймворками и знать их особенности (WordPress, Joomla, Laravel, ASP.NET /Core и т.д.)

Будет плюсом:

• опыт обхода систем защиты, WAF,
• опыт разработки веб-приложений,
• умение анализировать исходного кода на уязвимости,
• Профильные сертификаты

Требуемые навыки и умения по направлению «Безопасность компьютерных сетей»

• проведение тестов на проникновение на среды Active Directory,
• знание и умение проводить сетевые атаки (Sniffing, Spoofing, атаки на сети 802.11),
• понимание и умение проэксплуатировать уязвимости систем Linux и Windows, методы эскалации привилегий в данных системах,
• понимание методов продвижения по сети, Pivoting и Tunneling,
• знания уязвимостей популярных сетевых сервисов (SSH, FTP, SNMP, SMTP, SMB и т.д.).

Будет плюсом:

• опыт работы с С2 фреймворками,
• безопасность контейнеризации (Docker, Kubernetes),
• практические навыки обхода систем защиты хостов и антивирусов (MS Defender, AMSI, AppLocker, AppArmor, т.д.),
• Профильные сертификаты

Требуемые навыки и умения по направлению «Безопасность мобильных приложений»

• Умение анализировать мобильных приложений на технологиях Java/Kotlin, Flutter, .NET/Mono методами SAST/DAST,
• Знание OWASP Top 10 и OWASP Mobile Top 10,
• Умение тестировать Web API.

Будет плюсом:

• Умение анализировать низкоуровневые исходники на таких языках, как Dart, Go, C/C++ и т.д.,
• Опыт разработки мобильных приложений,

• Профильные сертификаты.

Мы предлагаем:

• Официальное трудоустройство по ТК РУз

• Комфортный офис: тренажерный зал, обеды, парковка

• Финансирование профессионального обучения и поездок

• Гибкий выбор направления развития

• Работа с реальными продуктами, а не «тестовыми приложениями»

Обязанности:

• Участие и управление крупными комплексными проектами (Федерального, регионального уровня), проектами аудита в роли технического ответственного (технического лидера проектов);
• Проведение обследования инфраструктуры Заказчика, формирование Отчета об обследовании, Отчета проведения аудита;
• Разработка архитектуры сетевой безопасности;
• Участие в переговорах с техническими представителями Заказчика, защита предлагаемых решений, обсуждение предъявленных замечаний;
• Разработка технических заданий, формирование технических требований;
• Проектирование сетевых СрЗИ с учетом геораспределенности, отказоустойчивости и других факторов, разработка концептуальных подходов при организации сетевого взаимодействия, разработка проектной, рабочей и эксплуатационной документации в соответствии с ГОСТ 34 (полный цикл разработки и сопровождения проекта от обследования до ПСИ);
• Постановка задач, курирование и сопровождение команды внедрения, взаимодействие со смежными подразделениями;
• Оценка трудоемкости работ и предварительное формирование перечня сетевых СрЗИ в потенциальных проектах, подготовка спецификаций.

Требования:

• Высшее техническое образование (будет плюсом наличие профильного образования), опыт работы в области ИБ от 1-3 года;
• Отличные коммуникативные и технические навыки, высокий уровень самоорганизации, ответственность, самостоятельность.
• Умение "видеть" конечный результат;
• Знание сетевых технологий на уровне CCNP/CCNP Security, будет плюсом наличие сертификатов;
• Наличие знаний и понимания технологий обеспечения сетевой безопасности, как минимум в следующем объеме: FW, VPN, IPS/IDS, Security/Network Design, Security Management, технологий защиты на различных уровнях модели OSI, наличие практического опыта применения шифрования на базе отечественных и зарубежных стандартов и алгоритмов;
• Практический опыт работы с одним или более СрЗИ: ViPNet, Континент, S-terra, nGate, UserGate или аналогичными;
• Готовность к обучению и работе с новыми решениями по направлению информационной и сетевой безопасности;
• Опыт разработки проектной документации в соответствии с ГОСТ 34;
• Умение грамотно и четко формулировать постановку задач команде проекта;
• Развитие компетенций по направлению сетевой безопасности (прохождение курсов, стендирование решений в корпоративной лаборатории, самостоятельное изучение СрЗИ).
• Знание технического английского языка на уровне чтения технической литературы.

Условия:

• Официальное оформление в аккредитованную ИТ-компанию;
• Конкурентный оклад, премии по результатам работы;
• Сильная команда экспертов, которые всегда готовы помочь и поделиться знаниями;
• Возможность работать над передовыми продуктами в сфере кибербезопасности;
• Перспективы для профессионального и карьерного продвижения;
• Корпоративные мероприятия, путешествия, спортивные активности онлайн и оффлайн (онлайн-марафоны, бег, йога, волейбол, лыжи, и др.).

Социальный пакет:

• ДМС со стоматологией в лучших клиниках России, возможность подключить родственников по корпоративным ценам;
• Доплата больничных и отпусков до 100% от оклада (14 дней в году), 10 оплачиваемых day-off на случай форс-мажора;
• Возможность бесплатного обучения: внешние обучения, профильные конференции, а также наши внутренние курсы и электронная корпоративная библиотека с сотнями книг;
• Скидки от компаний-партнеров: спорт, английский, психолог, интернет и многое другое;
• Материальная помощь при важных событиях в жизни (заключение брака, рождение детей и другое).

Крупный строительный Холдинг "ТИТАН-2" приглашает на вакансию главный специалист по сетевым средствам защиты, г. Санкт-Петербург.

ТИТАН-2 входит в контур ГК РОСАТОМ, ведет сооружение объектов ядерной и тепловой энергетики, а также прочих объектов промышленной инфраструктуры в России и за рубежом.

Обязанности:

1. 󠄀Проектировать 󠄀развертывание 󠄀и 󠄀развитие 󠄀МСЭ, 󠄀криптошлюзов 󠄀и 󠄀 VPN, определять 󠄀схемы 󠄀интеграции, 󠄀отказоустойчивости 󠄀и 󠄀 защищенного 󠄀администрирования 󠄀средств 󠄀сетевой 󠄀защиты.

2. 󠄀Разрабатывать 󠄀технические 󠄀политики 󠄀сегментации 󠄀и 󠄀фильтрации 󠄀 трафика, 󠄀согласовывать 󠄀допустимые 󠄀межсистемные 󠄀взаимодействия 󠄀 с 󠄀владельцами 󠄀ИТ 󠄀и 󠄀Отделом 󠄀ИБ.

3. 󠄀Готовить 󠄀требования 󠄀и 󠄀технические 󠄀решения 󠄀для 󠄀внедрения 󠄀 средств 󠄀защиты, 󠄀оценивать 󠄀совместимость, 󠄀производительность 󠄀и 󠄀 влияние 󠄀изменений 󠄀на 󠄀работу 󠄀корпоративных 󠄀сервисов.

4. 󠄀Определять 󠄀порядок 󠄀сопровождения 󠄀сертификатов защищенных 󠄀 соединений 󠄀в 󠄀пределах 󠄀технических 󠄀полномочий 󠄀и 󠄀утвержденных 󠄀 правил 󠄀организации.

5. 󠄀Сопровождать 󠄀сложные 󠄀настройки 󠄀и 󠄀интеграции, 󠄀формировать 󠄀 задания 󠄀ведущему 󠄀специалисту 󠄀и 󠄀подрядчикам, 󠄀обеспечивать 󠄀 передачу 󠄀решений 󠄀в 󠄀регулярную 󠄀эксплуатацию.

6. 󠄀Проводить 󠄀технические 󠄀проверки 󠄀конфигураций 󠄀защиты 󠄀и 󠄀 участвовать 󠄀в 󠄀аудитах, 󠄀предоставлять 󠄀сведения 󠄀о 󠄀настройках, 󠄀 доступах 󠄀и 󠄀выполнении 󠄀технических 󠄀требований.

7. 󠄀Участвовать 󠄀в 󠄀техническом 󠄀реагировании 󠄀на 󠄀сетевые 󠄀инциденты, 󠄀 анализе 󠄀причин 󠄀и 󠄀устранении 󠄀последствий 󠄀совместно 󠄀с 󠄀Отделом 󠄀ИБ 󠄀 и 󠄀владельцами 󠄀ИТ.

8. 󠄀Готовить 󠄀техническую 󠄀часть 󠄀закупочных 󠄀и 󠄀договорных 󠄀 материалов, 󠄀программы 󠄀испытаний; 󠄀участвовать 󠄀в 󠄀приемке 󠄀работ 󠄀и 󠄀 проверке 󠄀комплектности 󠄀эксплуатационной 󠄀документации.

9. 󠄀Поддерживать 󠄀актуальные 󠄀схемы 󠄀и 󠄀инструкции, 󠄀планировать 󠄀 обновления, 󠄀резервирование 󠄀и 󠄀восстановление 󠄀конфигураций, 󠄀 согласовывать 󠄀устранение 󠄀сетевых 󠄀уязвимостей 󠄀с 󠄀владельцами 󠄀 инфраструктуры.

Требования:

1. Высшее 󠄀техническое 󠄀образование 󠄀в 󠄀области 󠄀информационной 󠄀 безопасности, 󠄀информационных 󠄀технологий, 󠄀вычислительных 󠄀 систем 󠄀или 󠄀сетей 󠄀связи. 󠄀Для 󠄀смежного 󠄀профиля 󠄀— практический 󠄀 опыт 󠄀проектирования 󠄀сетевой 󠄀защиты 󠄀и 󠄀профильная 󠄀подготовка 󠄀по 󠄀 ИБ.

2. От 󠄀5 󠄀лет 󠄀в 󠄀ИТ 󠄀или 󠄀ИБ, 󠄀включая 󠄀практический 󠄀опыт 󠄀проектирования 󠄀 и 󠄀внедрения 󠄀сетевых 󠄀средств 󠄀защиты, 󠄀интеграции 󠄀криптошлюзов 󠄀и 󠄀 МСЭ.

3. Проектирование 󠄀сетевой 󠄀защиты: 󠄀сегментация, 󠄀межсетевое 󠄀 экранирование, 󠄀защищенные 󠄀соединения 󠄀и 󠄀удаленный 󠄀доступ. 󠄀 Умение 󠄀определять 󠄀доверенные 󠄀зоны, 󠄀допустимые 󠄀взаимодействия 󠄀 и 󠄀требования 󠄀к 󠄀защите 󠄀корпоративных 󠄀систем 󠄀с 󠄀учетом 󠄀критичности 󠄀 сервисов.

4. Практические 󠄀знания 󠄀МСЭ, 󠄀криптошлюзов 󠄀и 󠄀VPN: 󠄀архитектура, 󠄀 отказоустойчивость, 󠄀маршрутизация 󠄀защищенного 󠄀трафика, 󠄀 фильтрация, 󠄀журналирование. 󠄀

5. Анализ 󠄀совместимости 󠄀средств 󠄀 защиты 󠄀с 󠄀существующей 󠄀инфраструктурой 󠄀и 󠄀планирование 󠄀 безопасного 󠄀внедрения 󠄀технических 󠄀решений.

6. Знание 󠄀жизненного 󠄀цикла 󠄀сертификатов, 󠄀требований 󠄀к 󠄀их 󠄀хранению, 󠄀 замене 󠄀и 󠄀отзыву. 󠄀

7. Понимание 󠄀принципов 󠄀защищенного 󠄀 администрирования 󠄀и 󠄀предоставления 󠄀доступа 󠄀к 󠄀интерфейсам 󠄀 управления 󠄀сетевыми 󠄀средствами 󠄀защиты.

8. Умение 󠄀разрабатывать 󠄀технические 󠄀требования, 󠄀схемы 󠄀защиты, 󠄀 политики 󠄀конфигурации, 󠄀программы 󠄀испытаний 󠄀и 󠄀 эксплуатационные 󠄀инструкции. 󠄀

9. Оценка 󠄀изменений 󠄀по 󠄀влиянию 󠄀на 󠄀 защищенность, 󠄀доступность, 󠄀производительность 󠄀и 󠄀возможности 󠄀 последующего 󠄀сопровождения 󠄀инфраструктуры.

10. Анализ 󠄀сетевых 󠄀журналов, 󠄀конфигураций 󠄀и 󠄀технических 󠄀признаков 󠄀 инцидентов; 󠄀проверка 󠄀защищенности 󠄀и 󠄀подготовка 󠄀сведений 󠄀для 󠄀 аудитов. 󠄀

11. Совместная 󠄀работа 󠄀с 󠄀владельцами 󠄀ИТ 󠄀по 󠄀устранению 󠄀 уязвимостей, 󠄀согласованию 󠄀изменений 󠄀и 󠄀восстановлению 󠄀сервисов.

12. Средства 󠄀администрирования 󠄀МСЭ, 󠄀криптошлюзов 󠄀и 󠄀VPN, 󠄀 используемых 󠄀в 󠄀организации; 󠄀средства 󠄀диагностики 󠄀маршрутизации 󠄀 и 󠄀анализа 󠄀сетевого 󠄀трафика. 󠄀Конкретные 󠄀продукты 󠄀определяются 󠄀 действующей 󠄀инфраструктурой 󠄀и 󠄀согласованными 󠄀проектными 󠄀 решениями.

13. Средства 󠄀управления 󠄀сертификатами, 󠄀резервирования 󠄀 конфигураций, 󠄀журналирования 󠄀и 󠄀контроля 󠄀изменений. 󠄀 Инструменты 󠄀подготовки 󠄀сетевых 󠄀схем, 󠄀технической 󠄀документации 󠄀 и 󠄀заданий 󠄀подрядчикам; 󠄀взаимодействие 󠄀с 󠄀SIEM 󠄀в 󠄀части 󠄀передачи 󠄀 событий сетевой 󠄀защиты.

14. Способность 󠄀сопровождать 󠄀внедрение 󠄀защиты 󠄀без 󠄀нарушения 󠄀 согласованных 󠄀параметров 󠄀работы 󠄀сервисов. 󠄀Готовность 󠄀 участвовать 󠄀в 󠄀испытаниях, 󠄀технических 󠄀разборах 󠄀и 󠄀согласованных 󠄀 работах 󠄀по 󠄀изменениям 󠄀инфраструктуры.

Условия:

• У нас теплая атмосфера и дружная компания, с четкими и прозрачными процессами.
• Мы за развитие персонала: различное профессиональное обучение по направлению работы.
• Поддерживаем инициативу к совершенствованию и изучении нового, есть своя большая наработанная база знаний и возможность учиться на сертифицированных курсах.
• Рабочее место в одном из офисов компании:
  • г. Санкт-Петербургу, ул. Профессора Попова 37.
  • г. 󠄀Санкт-Петербург, 󠄀18я 󠄀линия 󠄀ВО 󠄀29Б.
  • г. Сосновый 󠄀Бор, 󠄀Петра 󠄀Великого 󠄀9.
• График работы 9:00-18:00 или 8:30-17:15.
• Оформление по ТК РФ.
• ДМС.