Задачи
•Проведение тестирований на проникновение, технических аудитов и анализа защищенности ИТ-инфраструктуры, приложений и информационных систем.
•Своевременное выявление уязвимостей и потенциальных векторов атак, оценка рисков их эксплуатации, подготовка рекомендаций по устранению выявленных недостатков и повышение уровня защищенности компании.
•Проведение внутренних и внешних тестирований на проникновение ИТ-инфраструктуры, веб-приложений, API и других информационных систем.
•Проведение технических аудитов защищенности инфраструктуры, серверов, сетевого оборудования и приложений.
•Поиск, анализ и подтверждение уязвимостей, оценка их критичности и возможных последствий эксплуатации.
•Проведение проверок защищенности Windows/Linux и доменной инфраструктуры Active Directory.
•Анализ возможных векторов атак и оценка рисков для информационных систем компании.
•Проведение проверок корректности настроек безопасности и выявление потенциально опасных конфигураций.
•Подготовка технических отчетов по результатам проверок с описанием выявленных уязвимостей и рекомендациями по их устранению.
•Проведение повторных проверок после устранения выявленных недостатков.
•Разработка и актуализация скриптов и инструментов для автоматизации проверок защищенности.
•Участие в разработке методик, инструкций и чек-листов по проведению пентестов и технических аудитов.
•Взаимодействие с инфраструктурными командами, разработкой, DevSecOps, SOC и владельцами информационных систем.
•Участие в Purple Team-мероприятиях и проверках эффективности средств обнаружения кибератак.
Требования
•Высшее образование в области ИБ.
•Опыт работы от 3 лет в информационной безопасности, преимущественно в области Pentest, анализа защищенности или технического аудита.
•Опыт работы в ролях Pentester, Security Engineer, Vulnerability Researcher, специалист по анализу защищенности, специалист по техническому аудиту ИБ, Red Team.
•Практический опыт проведения тестирований на проникновение инфраструктуры и приложений.
•Хорошее понимание сетевых технологий: TCP/IP, DNS, HTTP/HTTPS, TLS, VPN, Proxy.
•Знание Windows/Linux и практический опыт анализа их защищенности.
•Понимание архитектуры Active Directory и основных техник атак на доменную инфраструктуру.
•Практический опыт Web/API Security, знание OWASP Top 10 и основных классов уязвимостей.
•Уверенное владение инструментами пентеста: Burp Suite, Nmap, Metasploit и другими профильными инструментами.
•Понимание техник privilege escalation, lateral movement, persistence и основных способов эксплуатации уязвимостей.
•Практический опыт поиска, верификации и оценки критичности уязвимостей.
•Знание CVE, CVSS, CWE и принципов классификации уязвимостей.
•Понимание MITRE ATT&CK и основных техник кибератак.
•Навыки написания скриптов на Python / PowerShell / Bash.
•Умение самостоятельно проводить технический анализ выявленных уязвимостей и оценивать риски их эксплуатации.
•Опыт подготовки технических отчетов по результатам пентестов и аудитов защищенности.
Будет плюсом
•Практический опыт Red Team / Adversary Simulation.
•Опыт проведения внутренних пентестов крупных AD инфраструктур.
•Опыт тестирования мобильных приложений и API.
•Опыт анализа защищенности Kubernetes, контейнерной и облачной инфраструктуры.
•Навыки анализа исходного кода и понимание Secure Code Review.
•Опыт работы с инструментами Vulnerability Management.
•Опыт разработки собственных инструментов и автоматизации пентеста.
•Понимание техник обхода EDR и других защитных механизмов в рамках санкционированных проверок.
•Опыт участия в Purple Team-мероприятиях совместно с SOC / Detection Engineering.
•Профильные сертификаты в области Offensive Security / Penetration Testing.
•Опыт работы в подразделениях Pentest / Red Team / анализа защищенности.
•Опыт проведения внешних и внутренних тестирований на проникновение.
•Опыт участия в Bug Bounty, CTF или профильных исследовательских проектах.
•Знакомство с российским рынком инструментов анализа защищенности.
•Опыт взаимодействия с командами SOC, разработки и инфраструктуры при устранении выявленных уязвимостей.
•Наличие профильных сертификатов (OSCP, eJPT, PNPT или аналогичных).
Условия
•Конкурентная заработная плата, соответствующая профессиональным навыкам, готовы обсуждать с финальным кандидатом.
•Медицинское обслуживание в частной клинике по системе депозита от работодателя.
•Аккредитованная IT компания.
•Официальное трудоустройство согласно ТК РФ и социальные гарантии.
•График работы с 08 (10) до 17 (19), full time офис, после прохождения испытательного срока готовы рассмотреть комбинированный график работы.
•Пятница — сокращенный день.
•Заряженная и опытная команда профессионалов.
•Комфортный офис в дизайнерском бизнес-центре Neo Geo с теннисным кортом внутри и развитой инфраструктурой.
•Поддерживаем инициативы обучения и сертификации за счёт компании.
