Чем предстоит заниматься:
-
Проведение пентестов веб-приложений (включая нестандартную бизнес-логику и client-side атаки) и сетевой инфраструктуры, а также анализ защищенности API (REST, GraphQL).
-
Активный поиск и проверка 1-day эксплойтов, эксперименты с новыми векторами атак и внедрение передовых методов поиска уязвимостей в рабочие процессы отдела.
-
Валидация результатов, фильтрация ложных срабатываний и подготовка максимально точных отчетов с четкими рекомендациями по исправлению и PoC-кодом.
-
Участие в регулярных мероприятиях по эмуляции действий злоумышленников (Red Team), анализ актуальных киберугроз.
-
Участие во внутренних и внешних аудитах для проверки соответствия систем стандартам информационной безопасности.
Что мы хотим видеть:
-
Уверенное знание OWASP Top 10, опыт поиска уязвимостей бизнес-логики и сложных client-side атак (XSS, CSRF, DOM-based, Clickjacking).
-
Владение Burp Suite (включая создание собственных расширений/скриптов), опыт работы с ffuf, sqlmap, Nmap, dirsearch и другими инструментами для фаззинга и разведки.
-
Знание HTML, JavaScript на уровне чтения и понимания кода, знакомство с основами серверных языков (PHP, Python, Node.js) для поиска уязвимостей на уровне исходников.
-
Глубокое понимание принципов работы REST и GraphQL, опыт проверки механизмов авторизации (JWT, OAuth), поиск SSRF, IDOR, RCE, SQL-инъекций в API.
-
Способность быстро разбираться в чужом коде и архитектуре приложений, находить неочевидные уязвимости. Умение писать четкие отчеты с практическими PoC и рекомендациями по исправлению.
Что мы предлагаем:
- Удаленная работа.
- 8-ми часовой рабочий день.
- Гибкий рабочий график, согласованный с проектной командой.
- Выходные дни - суббота, воскресенье.
- В предпраздничные дни рабочий день сокращается на 1 час.
- Выходные дни во время государственных праздников (по РФ календарю).
- Оплачиваемый отпуск продолжительностью 28 календарных дней в год.
- Sick day в течение года, по согласованию с руководителем.
