Инженер Информационной безопасности (AppSec)

Чем предстоит заниматься:

• Обеспечение безопасности приложений и сервисов на всех этапах жизненного цикла разработки.

• Реализация процессов Application Security: анализ SAST, DAST, SCA, контейнерных и dependency-сканов.

• Интеграция проверок безопасности в CI/CD пайплайны.

• Формирование и поддержка SBOM, анализ зависимостей и связанных уязвимостей.

• Проверка сторонних библиотек, зависимостей и Docker-образов на предмет рисков.

• Проведение threat modeling и участие в проектировании безопасной архитектуры.

• Участие в полном процессе Vulnerability Management: обнаружение, triage, оценка риска, приоритизация и контроль устранения уязвимостей.

• Проведение инфраструктурных сканирований (Rapid7, OpenVAS или аналогичные решения).

• Анализ CVE, оценка критичности по CVSS и подготовка рекомендаций по устранению.

• Взаимодействие с Dev, DevOps и инфраструктурными командами по вопросам remediation.

• Участие в расследовании инцидентов, связанных с эксплуатацией уязвимостей.

• Подготовка документации, отчётов, методологий и рекомендаций по безопасности.

Требования:

• Высшее образование в области информационных технологий или информационной безопасности.

• Опыт работы в AppSec и/или Vulnerability Management не менее 3 лет.

• Отличное понимание OWASP Top 10, OWASP ASVS, CWE и механизмов эксплуатации веб-уязвимостей.

• Понимание принципов реализации атак: XSS, SQLi, SSRF, IDOR, XXE, Path Traversal, RCE и других распространённых векторов.

• Практический опыт работы с инструментами AppSec: Semgrep CE, Bandit, Gitleaks, Trivy, Syft/Grype, OWASP ZAP, Nuclei.

• Опыт интеграции SAST/SCA/DAST в CI/CD (GitLab CI, GitHub Actions, Jenkins).

• Опыт работы с инфраструктурными сканерами уязвимостей (Rapid7, OpenVAS).

• Умение проводить triage уязвимостей, определять приоритеты и оценивать риски.

• Знание CVE, CVSS, MITRE ATT&CK и умение применять их при анализе угроз.

• Опыт формирования и использования SBOM (CycloneDX, SPDX).

• Опыт анализа результатов…