AppSec/ Инженер по безопасной разработке

Что нужно делать :

• Проводить анализ защищённости web-, mobile- и API-компонентов информационных систем Банка

• Верифицировать и анализировать выявленные уязвимости, определять причины возникновения, эксплуатационность и фактический уровень риска

• Проводить security review изменений и новых функциональных возможностей на этапах проектирования и разработки

• Сопровождать устранения уязвимостей совместно с командами разработки, повторная проверка исправлений

• Участвовать в развитии и эксплуатации процессов SAST/DAST/SCA, включая настройку правил, анализ результатов и интеграцию проверок в SDLC/CI/CD

• Консультировать разработчиков, аналитиков и архитекторов по вопросам Application Security

• Участвовать в разборе новых техник атак и оценке их применимости к информационным системам Банка.

Что мы хотим видеть:

• Базовые навыки администрирования операционных систем Linux, Windows.

• Уверенные навыки: BurpSuite , решения классов SAST/DAST, Postman

• Знание принципов безопасной разработки SSDLC, уверенное знание OWASP top 10, OWASP API Security Top 10

• Понимание основных классов уязвимостей и способов их эксплуатации и устранения

• Навыки ручного и автоматизированного анализа защищенности

• Умение валидировать результаты автоматизированных средств анализа, отсекать шум, оценивать эксплуатируемость и фактический риск уязвимости

• Понимание механизмов аутентификации и авторизации, управления сессиями, принципов безопасного хранения и передачи чувствительных данных

• Умение читать и анализировать исходный код для поиска причин уязвимости и обсуждения исправления с разработчиком

• Будет плюсом : опыт работы пентестером, участие в bugbounty, ctf