DevSecOps/AppSec/инженер по ИБ

Мы ищем специалиста по безопасности ПО с практическим опытом фаззинг-тестирования. Основная задача - настройка, запуск и развитие процессов фаззинга для поиска ошибок и потенциальных уязвимостей в программном обеспечении, а также автоматизация этих процессов и их интеграция в конвейеры безопасной разработки.

Помимо фаззинга, предстоит работать с инструментами статического и динамического анализа, анализом зависимостей и другими инструментами РБПО.

Чем предстоит заниматься

• Настройка и проведение фаззинг-тестирования системного и прикладного ПО с использованием AFL++, libFuzzer и аналогичных инструментов.

• Подготовка окружений для фаззинга: сборка проектов с инструментированием, настройка компиляторов, санитайзеров и параметров запуска.

• Анализ исходного кода и архитектуры приложений для выбора целей фаззинга, определения точек входа и подготовки harness-обёрток для тестируемых компонентов.

• Настройка сбора и анализа покрытия кода, оценка эффективности фаззинга и оптимизация его производительности.

• Интеграция фаззинг-тестирования в CI/CD-конвейеры, разработка скриптов и переиспользуемых компонентов для автоматизации запусков и обработки результатов.

• Проведение статического и динамического анализа кода с использованием SAST/DAST-инструментов, валидация результатов и отсеивание ложных срабатываний.

• Анализ сторонних зависимостей с помощью SCA-инструментов и поиск секретов в исходном коде.

• Участие в развитии процессов безопасной разработки (SSDLC) и сопровождении технических требований ГОСТ Р 56939-2024.

Обязательные требования

• Уверенное владение Linux, командной строкой и инструментами диагностики и отладки.

• Практический опыт настройки и запуска фаззеров, например AFL++ или libFuzzer.

• Понимание принципов coverage-guided fuzzing, механизмов мутации входных данных и влияния покрытия кода на эффективность фаззинга.

• Опыт сборки проектов с инструментированием, работы с компиляторами и санитайзерами, например AddressSanitizer и…