DevSecOps-инженер (AppSec & Pentest)

• Внедрение практик безопасности на всех этапах CI/CD;
• Инвентаризация активов и проведение аудитов в области соответствия требованиям безопасности;
• Оценка безопасности цепочки поставок и внедрение новых решений;
• Аудит и ревью исходного кода, выявление ошибок и закономерностей;
• Использование инструментов безопасности инфраструктуры - сетевые сканеры, сканеры безопасности контейнерных сред;
• Проведение обучений сотрудников из отделов инфраструктуры и разработки относительно применения практик по безопасности;
• Написание отчетов по проделанным работам и выявленным уязвимостям.

Нам важно увидеть:

• Инфраструктура: хороший уровень знания ОС и протоколов;
• Понимание работы и особенностей языков программирования и исполняемых сред;
• Знание подсистем безопасности - LSM, eBPF;
• Базовые знания криптографии - TLS/SSL, SHA;
• Умение пользоваться инструментами автоматизированного сканирования (ZAP, Burp, Nuclei, Nikto);
• Знание хотя бы одного из языков программирования - Python, Go, Kotlin, Java, C#;
• Понимание устройства и работы мобильных приложений;
• Атаки на хранилище исходного кода и конфигурации;
• Знание принципов атак на виртуализацию, контейнеризацию и сети;
• Понимание принципов работы алерт-систем ИБ;
• Работа с атаками на прикладную аутентификацию - BOLA, BAC.

Будет большим плюсом:

• Знание особенностей работы SCA, SAST, DAST инструментов;
• Знания работы систем цепочек поставок - чем отличается SBOM от OBOM;
• Практический опыт работы в проведении успешных атак на контейнерную инфраструктуру и системы оркестрации;
• Опыт аудита исходного кода больших Legacy проектов;
• Понимание принципов построения гибридных архитектур (Облако/OnPremise);
• Понимание правил обработки и хранения различных типов информации и данных;
• Знание способов атак на сети в гибридных архитектурах;
• Опыт работы с UNIX/Linux системами и понимание внутренних механизмов безопасности ОС;
• Опыт написания профилирования сканеров безопасности;
• Знание основных принципов безопасности веб-приложений, CWE, OWASP;
• Подтвержденное участие в CTF и Bug Bounty;
• Опыт применения, эксплуатации и выявления следов использования эксплоитов;
• Умение эксплуатировать потенциальные CWE и превращать их в CVE;
• Опыт проведения атак на мобильные приложения.