Локация
Алматы, проспект Назарбаева, 50; работа на месте работодателя
Компания
KMF Банк — банковская компания, развивающая практики AppSec, DevSecOps и защиты цифровых приложений.
Что делать
•Проводить ручной анализ защищённости веб-приложений и API, включая клиентскую и серверную части.
•Анализировать исходный код, архитектуру приложений и сервисов, моделировать угрозы и выявлять сценарии атак.
•Документировать уязвимости, подтверждённое воздействие, условия эксплуатации, PoC или эксплойты.
•Валидировать и триажировать результаты SAST, SCA, DAST, Secret Scanning и развивать правила автоматизированных проверок.
•Взаимодействовать с командами разработки, QA, DevOps, DevSecOps и SOC при устранении уязвимостей и расследовании инцидентов.
•Участвовать в анализе защищённости мобильных приложений, контейнеров, Kubernetes, LLM-приложений и AI-агентов, а также в Red Team, Purple Team и киберучениях.
Требования
•От 3 до 6 лет опыта в области безопасности приложений.
•Навыки эксплуатации уязвимостей, разработки PoC и эксплойтов, построения цепочек атак и доказательства реального воздействия на инфраструктуру, пользователей или данные.
•Глубокое понимание безопасности браузеров, аутентификации, авторизации API, сессий, токенов и обхода контроля доступа.
•Опыт ручного анализа кода по OWASP Top 10, OWASP API Security Top 10 и CWE Top 25, включая понимание причин уязвимостей и способов их устранения.
•Практическое применение OWASP ASVS, OWASP WSTG и PTES.
•Знание одного из языков программирования на уровне анализа кода, разработки PoC и инструментов: Go, Python, JavaScript/TypeScript, Java, C#, Kotlin, Swift или аналогичный.
•Понимание SDLC и полного процесса работы с уязвимостями — от выявления и триажа до устранения и повторной проверки.
•Опыт работы с AppSec-инструментами, разработки правил SAST и сценариев DAST, анализа архитектуры и моделирования угроз с использованием STRIDE, attack trees, abuse cases или аналогичных подходов.
•Опыт анализа мобильных приложений Android и iOS, контейнерных сред и Kubernetes, а также LLM-приложений и AI-агентов, включая AI Red Teaming, с применением указанных в вакансии методик и руководств.
•Умение понятно объяснять разработчикам и QA причины уязвимостей, способы исправления и проверки.
Хорошо, если есть
•Участие в bug bounty, CTF, security research или программах ответственного раскрытия уязвимостей.
•Опыт разработки собственных инструментов безопасности, правил детектирования или open source-проектов.
•Технические статьи, исследования, доклады или выступления на профильных мероприятиях.
•Сертификации BSCP, OSWA, OSWE, CWES, CWEE, OSCP, CPTS или аналогичные.
Культура и преимущества
•Полная занятость и работа на месте работодателя.
•Официальное трудоустройство по Трудовому кодексу РК.
•График на выбор: 08:30–17:30, 09:00–18:00 или 09:30–18:30.
•После испытательного срока — кафетерий льгот на 250 000 тг в год: медицинское страхование, обучение, спорт, развитие детей, авиа- и железнодорожные билеты.
•После года работы — лечебное пособие в размере одного оклада при отпуске от 14 дней.
