Пентестер

Мы и щем пентестера, который копает глубже сканера, способен довести цепочку эксплуатации до доказуемого результата и помогает компании закрыть дыры до того, как ими воспользуется злоумышленник. Если Burp — рабочий стол, а лучший результат для тебя — не отчет, а боевой PoC — ты наш человек.

Задачи в этой роли:

• плановое и внеплановое тестирование на проникновение всех видов корпоративных систем;

• ручной и автоматизированный анализ защищенности;

• сценарии атак с опорой на актуальные угрозы, MITRE ATT&CK, OWASP — с учётом нашей архитектуры и типовых ролей/доступов;

• участие во внутренних Red Team / Purple Team активностях совместно с SOC;

• оформление результатов своей работы для внутренних команд: описание, шаги, риск, рекомендации;

• работа с привычным стеком offensive утилит и разработка собственных, написание PoC.

Необходимая экспертиза:

• высшее техническое образование;

• опыт от 3 лет в ИБ, с заметной долей в области практической безопасности;

• знание типовых классов уязвимостей (XSS, SQLi, IDOR, SSRF, RCE, auth/logic flaws и т.д.) - и умение с ними работать;

• умение работать с типовым набором offensive утилит, понимание принципов проведения сетевой разведки, эксплуатации и постэксплуатации;

• уверенные знания Linux/Windows (Active Directory), сетей и web-технологий;

• английский - средний и выше (advisories, write-up’ы, документация);

• Bash/Python (или аналог) для автоматизации своей работы;

• дисциплина в работе: ронять прод во время пентеста - это плохо (но бывает), умение работать с чувствительными данными;

• коммуникабельность и умение взаимодействовать с коллегами из других подразделений по результатам твоей работы.

Будет плюсом:

• уже работал в пентест / Red Team командах;

• опыт работы в финтехе;

• Bug Bounty / Standoff и т.п. - как реальное подтверждение навыков;

• OSCP, OSWE, OSEP и аналоги;

• публичные материалы или исследования в области offensive security;

• опыт работы в крупной внутренней среде: много…