DevSecOps/AppSec/инженер по ИБ

Ред Cофт – российский разработчик программного обеспечения. Создаем, развиваем и поддерживаем системное и прикладное ПО, государственные информационные системы, а также разрабатываем ПО на базе искусственного интеллекта. Ред Софт - аккредитованная IT-компания.

Нам нужен специалист, который не просто знаком с теорией безопасной разработки, а применяет её на практике: умеет встраивать проверки безопасности в конвейеры, автоматизировать анализ кода и отсеивать ложные срабатывания.

Чем предстоит заниматься:

• Проведение анализа кода на уязвимости с использованием SAST/DAST-инструментов и базового фаззинг-тестирования;

• Мониторинг уязвимостей в сторонних библиотеках с помощью SCA-анализаторов;

• Поиск потенциальных утечек секретов (API-ключи, пароли) в коде;

• Участие во внедрении инструментов безопасности в CI/CD-конвейеры, автоматизация процессов РБПО;

• Работа с отчетами об уязвимостях: оценка критичности, разметка результатов, валидация срабатываний инструментов;

• Помощь в построении процессов безопасной разработки (SSDLC);

• Сопровождение соответствия стандартам (ГОСТ Р 56939-2024, техническая сторона).

Обязательные требования:

• Уверенное владение Linux и командной строкой, опыт написания скриптов автоматизации на Python или Bash.

• Знание принципов безопасной разработки, умение объяснить и применить их в реальном проекте.

• Опыт внедрения и эксплуатации SAST-инструментов для статического анализа кода (например, Svace, SonarQube, Semgrep, CodeChecker, Bandit).

• Опыт работы с DAST-инструментами для динамического анализа приложений (например, OWASP ZAP, Valgrind).

• Опыт настройки и запуска фаззеров для поиска уязвимостей (например AFL++ и LibFuzzer).

• Опыт интеграции инструментов безопасности в CI/CD пайплайны (Jenkins, GitLab CI, GitHub Actions и аналогичные системы).

• Умение отличать реальные уязвимости от ложных срабатываний, настраивать правила фильтрации и приоритизировать находки.

Будет плюсом:

• Опыт работы с SCA-инструментами…