# AppSec-инженер / Специалист по информационной безопасности
ITD Group — группа компаний, которая более 15 лет активно продвигает на рынках России и СНГ решения в сфере защиты информации.
Одно из наших направлений — разработка решений в области информационной безопасности. Команда SASTAV развивает направление AppSec и занимается разработкой продуктов для статического анализа кода. Решение используется крупнейшими компаниями России и находится на стадии активного развития.
Сейчас мы расширяем команду и ищем специалиста, который будет развивать продукт: разрабатывать и улучшать правила поиска уязвимостей, повышать точность и покрытие проверок и участвовать в развитии инструментов статического анализа.
Чем предстоит заниматься
•Разрабатывать и улучшать правила SAST;
•Исследовать уязвимости в исходном коде: разбирать причины возникновения, условия эксплуатации и способы автоматического обнаружения;
•Анализировать результаты сканирования, находить причины ложных срабатываний и пропусков, повышать точность и покрытие проверок;
•Создавать тестовые примеры с уязвимым и безопасным кодом и поддерживать наборы тестов для проверки качества правил;
•Готовить описания срабатываний и рекомендации по исправлению уязвимостей;
•Совместно с разработчиками анализатора определять необходимые возможности движка для улучшения проверок.
Что хотим увидеть у вас
Мы рассматриваем специалистов разного уровня — от начинающих специалистов до опытных инженеров. Для более высокой позиции важен прикладной опыт работы с SAST-инструментами.
•Практический опыт в AppSec: поиск и анализ уязвимостей в исходном коде, проведение security code review;
•Понимание распространённых классов уязвимостей, условий их эксплуатации и способов исправления;
•Понимание основ статического анализа: поток данных, источники недоверенных данных, опасные операции и санитизация;
•Умение переводить описание уязвимости в условия автоматической проверки и проверять их на уязвимых и безопасных примерах;
•Навыки работы с Git, автоматизированными тестами и ревью кода;
•Знание одного из веб-фреймворков;
•Для более высокой позиции прикладной опыт работы с SAST-инструментами.
Желательные навыки
•Практический опыт работы с SAST: разбор срабатываний, выявление ложных результатов, понимание причин пропусков;
•Опыт разработки правил для SAST, например Semgrep или CodeQL, либо собственного анализатора;
•Опыт работы с taint-анализом, межпроцедурным анализом и моделированием поведения библиотек и фреймворков;
•Опыт системной оценки качества статического анализа на тестовых наборах и реальных проектах;
•Опыт исследования уязвимостей и подготовки минимальных примеров, подтверждающих проблему;
•Знакомство с SCA, прямыми и транзитивными зависимостями, экосистемами пакетных менеджеров;
•Понимание анализа достижимости: построения графа вызовов и определения, может ли приложение вызвать уязвимый код зависимости.
Мы рады предложить
•Официальное трудоустройство в аккредитованной IT-компании по ТК РФ;
•Удаленка по РФ, а также есть возможность работать в уютном офисе на ст. метро Белорусская;
•28 + 3 дня отпуска в год;
•Гибкая система льгот: предлагаем на выбор ДМС со стоматологией, абонемент на занятия спортом или компенсацию языковых курсов;
•Вся необходимая рабочая техника;
•Возможность обучения за счет компании;
•Действительно дружная команда из 100+ отличных ребят, которые горят своим делом, а в свободное время катаются на моноколесе, тюнят машины, коллекционируют охотничье нарезное и делают многое другое, о чем подробно расскажут новому коллеге за утренним кофе :)
