Описание
Мы ищем опытного Security Engineer для владения и повышения уровня безопасности нашей платформы от края Cloudflare и инфраструктуры AWS до уровня API, фронтенда и бэкенд-кода приложения. Это роль с высокой степенью влияния и ответственности, встроенная в инженерную команду. Вы будете тесно работать с продуктом, DevOps и командами разработки, чтобы выявлять угрозы до того, как они превратятся в инциденты, решительно реагировать, когда это происходит, и выстраивать системы, политики и культуру, которые обеспечивают безопасность наших пользователей и платформы.
Задачи
•Владеть и обеспечивать сквозную безопасность веб-, API- и инфраструктурных поверхностей
•Выявлять, оценивать и устранять уязвимости во фронтенде, бэкенд-сервисах и облачной инфраструктуре
•Проектировать и применять меры безопасности на границе Cloudflare, включая политики WAF, правила противодействия ботам, интеграции Turnstile и стратегии ограничения скорости
•Усиливать окружения AWS в соответствии с принципами наименьших привилегий и нулевого доверия
•Проводить сессии моделирования угроз для новых функций продукта и выявлять пробелы в безопасности до выхода в продакшн
•Мониторить, расследовать и реагировать на инциденты безопасности, включая события firewall Cloudflare, оповещения WAF и аномалии, обнаруженные SIEM
•Проводить пентесты и оценки уязвимостей; приоритизировать находки по влиянию на бизнес
•Определять и применять политики HTTP security header во всех доменах
•Разрабатывать и поддерживать плейбук реагирования на DDoS; руководить смягчением последствий при объёмных и прикладных атаках
•Сотрудничать с инженерными командами для внедрения практик безопасного кодирования и участвовать в код-ревью, связанных с безопасностью
•Управлять программой responsible disclosure и bug bounty; проводить триаж отчётов внешних исследователей
•Готовить отчёты по безопасности, реестры рисков и брифинги для руководства; отслеживать SLA по устранению проблем
•Отслеживать новые векторы атак, CVE и изменения ландшафта угроз, актуальные для онлайн-гейминга и финтех-платформ
Требования
•10+ лет практического опыта в области безопасности приложений, инфраструктуры и веб-безопасности
•Глубокая экспертиза в OWASP Top 10, включая SQLi, XSS, CSRF, IDOR, RCE, SSRF и clickjacking
•Подтверждённый опыт обнаружения, смягчения и анализа DDoS-атак
•Уверенное владение правилами Cloudflare WAF, Bot Management, Turnstile, Rate Limiting, Transform Rules и анализом Firewall Events
•Практический опыт в области безопасности AWS: IAM-политики, Security Groups, проектирование VPC, троттлинг API Gateway, WAFv2, Shield, GuardDuty и CloudTrail
•Глубокое понимание безопасности API, включая OAuth2, JWT, злоупотребление OTP, ограничение скорости и защиту эндпоинтов
•Опыт защиты фронтенд-приложений от XSS, обхода CSP, clickjacking и рисков сторонних скриптов
•Экспертиза в бэкенд-безопасности: валидация ввода, безопасное кодирование, управление секретами и предотвращение SQL-инъекций
•Владение Burp Suite, OWASP ZAP, Nmap, Metasploit и Nikto
•Опыт проведения и управления оценками уязвимостей, моделированием угроз и аудитами безопасности
•Твёрдое понимание TLS/SSL, HTTP security headers и управления сертификатами
•Опыт работы с SIEM-платформами, агрегацией логов, настройкой оповещений и реагированием на инциденты
•Знание стратегий противодействия ботам, включая фингерпринтинг JA3/JA4, оценку ботов и эвристическое vs ML-обнаружение
•Знакомство с ISO 27001, SOC 2, PCI-DSS или GDPR
•Сильные письменные и устные коммуникативные навыки; способность готовить отчёты по безопасности и брифинговать нетехнических заинтересованных лиц
•Практический опыт интеграции SAST, DAST, SCA и сканирования секретов в CI/CD пайплайны в качестве автоматических гейтов
Будет плюсом
Cloudflare Zero Trust, Access и Tunnel; платформы threat intelligence (VirusTotal, Shodan, AlienVault OTX); опыт bug bounty или раскрытия CVE; скриптинг на Python, Bash или Go; опыт защиты Electron-десктоп-приложений и мобильных API-поверхностей; безопасность блокчейн/крипто-платформ; Docker и Kubernetes RBAC, инструменты сканирования образов (Trivy, Snyk); сертификации OSCP, CEH, CISSP, AWS Security Specialty или эквивалентные; опыт chaos engineering или red team/blue team упражнений; регуляторная среда гейминга или финтеха
Условия
Локация: Европейский союз
