Описание
R-Vision – разработчик надежных систем цифровизации и кибербезопасности. С 2011 года мы создаем технологии, которые помогают организациям эффективно противостоять киберугрозам, поддерживать надежность ИТ-инфраструктуры и обеспечивать цифровую трансформацию. Мы в поиске стажера в направление безопасности разработки, который готов вместе с нашей командой участвовать в развитии процессов безопасной разработки и автоматизации security-проверок. За время стажировки ты погрузишься в процессы безопасной разработки, будешь работать с результатами автоматических сканеров и внутренних исследований, анализировать безопасность приложений и инфраструктуры, а также участвовать в автоматизации процессов.
Задачи
•Участие в развитии SSDLC и автоматизации процессов безопасной разработки
•Подключение и сопровождение security-проверок в GitLab CI по готовым шаблонам
•Проверка воспроизводимости найденных уязвимостей и сбор дополнительного технического контекста
•Подготовка предложений по настройке правил сканирования и блокировки сборок
•Исследование безопасности web-приложений, API, CLI-инструментов и межсервисного взаимодействия
•Участие в триаже результатов автоматических сканеров, пентестов и внутренних исследований
•Анализ Dockerfile, Kubernetes-манифестов и Helm-чартов по установленным security-чек-листам
•Подготовка исправлений для небезопасных конфигураций контейнеров
•Проверка зависимостей, формирование SBOM и анализ найденных в компонентах уязвимостей
•Заведение задач на исправление уязвимостей, отслеживание их статуса и проверка устранения
•Подготовка понятных технических отчетов и рекомендаций для разработчиков
Требования
•Стажировка ориентирована на обучающихся на 3-4 курсе бакалавриата или 1-2 курс магистратуры
•Рассматриваем обучающихся, которые уже обладают базовой подготовкой в направлениях связанных с бизнес-информатикой, прикладной математикой и компьютерными науками, а также смежными образовательными программами
•Готовность уделять стажировке 40 часов в неделю
•Умение читать и понимать код на JavaScript/TypeScript и Python
•Практические навыки разработки на Python
•Умение написать утилиту для работы с файлами, API или результатами сканирования
•Базовое понимание структуры программного проекта, функций, модулей, зависимостей и интерфейсов
•Знание основных менеджеров зависимостей и систем сборки используемого стека
•Понимание необходимости валидации входных данных, обработки ошибок и логирования
•Умение разобраться в незнакомом участке кода с помощью документации, отладчика и инструментов навигации по проекту
•Понимание различий между монолитной, модульной и микросервисной архитектурой
•Умение выделить основные компоненты системы, точки входа и потоки данных
•Понимание понятия trust boundary
•Понимание устройства CLI-инструментов и интеграций с API
•Базовое понимание принципов микросервисной архитектуры
•Умение добавлять в инструмент валидацию данных, обработку ошибок, таймауты и логирование
•Базовое понимание OWASP Top 10 и распространенных API-уязвимостей
•Понимание различий между аутентификацией и авторизацией
•Базовое знание JWT и механизмов контроля доступа
•Общее представление об OAuth 2.0, OIDC и RBAC
•Базовые знания SQL и принципов взаимодействия приложений с базами данных
•Базовые навыки работы с Git и Linux
•Знание основных концепций Docker
•Понимание опасности root- и privileged-контейнеров, docker.sock, hostPath и избыточных capabilities
•Умение прочитать Kubernetes-манифест и Helm values
Будет плюсом
•Знание Go
•Умение читать простой код на Rust или C
•Навыки написания модульных тестов
•Практический опыт с Burp Suite, OWASP ZAP, Semgrep, CodeQL, Trivy или аналогичными инструментами
•Написание собственных правил для статических анализаторов или линтеров
•Опыт создания и анализа SBOM в форматах CycloneDX или SPDX
•Понимание Kubernetes securityContext, RBAC, NetworkPolicy и Pod Security Standards
•Знакомство с OPA/Rego, Kyverno или Gatekeeper
•Понимание техник container escape и опыт их безопасного воспроизведения в лабораторной среде
•Участие в bug bounty, самостоятельные security-исследования или вклад в open-source инструменты
•Участие в Attack-Defense CTF, хакатонах, Hack The Box или TryHackMe
•Опыт анализа безопасности AI/LLM-компонентов
•Опыт проведения исследований продуктов для сертификации ФСТЭК
Условия
•Стажировка рассчитана на 6 месяцев с дальнейшей возможностью роста до младшего специалиста
•Возможность работать в удаленном формате на территории РФ
•Статус аккредитованной ИТ-компании со всеми преимуществами
•100% компенсация больничного, дополнительные дни на отгул по болезни
•Возможности для обучения и профессионального развития: корпоративная библиотека, менторство, внутренние митапы по обмену опытом, практика публичных выступлений, возможность участвовать в создании контента для профессиональных сообществ
•Программа корпоративных скидок и привилегий
•Развитая корпоративная культура: открытая коммуникация, онлайн и офлайн встречи, клубы по интересам, спортивные активности и поддержка инициатив сотрудников
