Инженер по безопасности WEB-приложений

О компании и команде:

Мы — крупная ИТ-команда, занимающаяся информационной безопасностью наших клиентов, в частности развитием и защитой высоконагруженных web-проектов. Стек технологий разнообразен, мы активно внедряем практики DevSecOps. Ищем инженера, который будет отвечать за безопасность web-приложений на всех этапах — от написания кода до эксплуатации в продакшене.

Почему эта работа будет для вас интересна:

Мы не ищем специалиста, который просто "посмотрит логи в WAF или SIEM". Нам нужен инженер, который будет разбираться в архитектуре приложений, чтобы выстраивать защиту, не мешая бизнесу. Вы столкнетесь с задачами по внедрению WAF, интеграции безопасности в CI/CD, расследованию сложных инцидентов, связанных с атаками на прикладном уровне (L7), и подбору оптимальных настроек защиты под специфику каждого приложения.

Обязанности:

• Управление защитой приложений: Настройка и администрирование WAF (Web Application Firewall) и окружения WAF в части web-трафика. Написание политик и правил корреляции для выявления атак на web-приложения.

• Расследование инцидентов: Анализ инцидентов, связанных с компрометацией web-приложений, взаимодействие с командой SOC.

• DevSecOps практики: Консультация разработчиков по интеграции инструментов защиты в пайплайны CI/CD.

• Экспертиза новых решений: Участие в PoC (Proof of Concept) новых систем безопасности, развертывание демо-стендов и подготовка технических заключений.

Ключевые требования к соискателю:

• Понимание архитектуры web-приложений: принципы работы REST API , форматов данных (JSON/XML), сессий, cookie, CORS.

• Уверенное знание протоколов: HTTP/HTTPS , включая методы, заголовки, особенности работы TLS.

• Опыт администрирования Linux (написание скриптов bash/python, анализ логов, работа с сетью).

• Понимание принципов работы сетей (модель OSI, TCP/IP, DNS) и опыт настройки правил межсетевого экранирования.

• Понимание OWASP Top 10: Знание основных уязвимостей (SQLi, XSS, SSRF и др.) и методов защиты от…