AppSec-инженер
Локация: Можно работать удаленно.
Опыт: 3–6 лет.
Зарплата: ₽. Обсуждается на собеседовании.
Обязанности:
•Разрабатывать и улучшать правила SAST;
•Исследовать уязвимости в исходном коде: разбирать причины возникновения, условия эксплуатации и способы автоматического обнаружения;
•Анализировать результаты сканирования, находить причины ложных срабатываний и пропусков, повышать точность и покрытие проверок;
•Создавать тестовые примеры с уязвимым и безопасным кодом и поддерживать наборы тестов для проверки качества правил;
•Готовить описания срабатываний и рекомендации по исправлению уязвимостей;
•Совместно с разработчиками анализатора определять необходимые возможности движка для улучшения проверок.
Требования:
•Практический опыт в AppSec: поиск и анализ уязвимостей в исходном коде, проведение security code review;
•Понимание распространённых классов уязвимостей, условий их эксплуатации и способов исправления;
•Понимание основ статического анализа: поток данных, источники недоверенных данных, опасные операции и санитизация;
•Умение переводить описание уязвимости в условия автоматической проверки и проверять их на уязвимых и безопасных примерах;
•Навыки работы с Git, автоматизированными тестами и ревью кода;
•Знание одного из веб-фреймворков;
•Для более высокой позиции — прикладной опыт работы с SAST-инструментами.
