METASCAN — российский разработчик платформы для обнаружения и управления уязвимостями внешнего периметра.
Платформа объединяет специализированные движки и микросервисы, проводит проверки на сетевом и прикладном уровнях и работает с большими объёмами данных. Нашими решениями пользуются Сбербанк, ВТБ, Альфа-Банк, Газпромбанк, Ростелеком, Wildberries, DNS и другие крупные компании.
Сейчас мы ищем пентестера-исследователя, который присоединится к команде R&D и возьмёт на себя сопровождение и интеграцию набора узкоспециализированных инструментов для Red Team задач. Наша инфраструктура опирается на обширный арсенал утилит, работа потребует глубокого погружения и умения разбираться в «недружелюбном» ПО.
Что предстоит делать:
-
Поддерживать и обслуживать 33+ инструмента: Burp Suite, OWASP ZAP, Nmap, ffuf, dirsearch, Feroxbuster, Subfinder, Amass, Nuclei и д.р.
-
Интеграция новых утилит в существующие процессы, адаптация под нашу среду, решение сложных технических вопросов
-
Ресерч приложений на портах, определяемых nmap как «unknown»
-
Разработка безопасных PoC и сигнатур для новых CVE
-
Реализация проверок в формате Nuclei-шаблонов, NSE-скриптов или модулей движка
-
Написание unit/integration тестов и документации, участие в code-review
С чем предстоит работать:
-
Основной стек: Python, Django, DRF, Celery
-
Инфраструктура и инструменты: Elasticsearch, MySQL, Docker, Ansible, GitLab CI и другое
-
Архитектура: модульный монолит, микросервисы, распределённые системы, highload
-
Процессы: работа недельными спринтами, Я.Трекер как Kanban-доска, code review
Что мы предлагаем:
- Возможность развивать собственный продукт в сфере информационной безопасности, которым ежедневно пользуются крупные компании
- Задачи, которые напрямую влияют на защищённость реальной инфраструктуры
- Технические решения, которые можно обсуждать, аргументировать и менять
- Сильную команду разработчиков и экспертов по информационной безопасности
- Открытое общение без лишней бюрократии и многоуровневых согласований
- Оформление по ТК РФ в IT-аккредитованной компании
- Полностью удалённый формат работы, взаимодействие команды в Discord
- Технику и всё необходимое для работы
- Компенсацию профильного обучения, конференций и профессионального развития
- Корпоративные мероприятия, дополнительные выходные и компенсация спорта, английского языка или психолога
-
Коммерческий опыт пентестера, багхантера или участника Red Team от 3х лет
- Опыт работы с пентест-инструментами: Burp Suite, OWASP ZAP, Nmap, ffuf, dirsearch, Feroxbuster, Subfinder, Amass, Nuclei
-
Опыт работы с коммерческими сканерами: Qualys, Nessus, Rapid7, Acunetix
-
Опыт работы с методологиями OWASP, MITRE ATT&CK
-
Знание Linux на уровне администратора
-
Практические знания сетевых протоколов: TCP/IP, TLS/SSL, RTSP, DNS, SSH, SMTP, ISAKMP, FTP, SMB, RDP
-
Уверенное владение Python3
-
Опыт работы с Docker
-
Понимание практик безопасного тестирования: isolated labs, responsible disclosure
-
Умение документировать решения, писать тесты, работать в командной разработке
-
Английский — на уровне чтения технической документации (B1)
-
Опыт разработки на Go/Java/Lua/Ruby
-
Публикации/PR в OSS проектах (ZAP, Nuclei, dirsearch)
