Описание
Описания нет
Задачи
•Проведение анализа защищённости web-, mobile- и API-компонентов информационных систем Банка.
•Ручная верификация и анализ выявленных уязвимостей, определение причин возникновения, эксплуатационности и фактического уровня риска.
•Проведение security review изменений и новых функциональных возможностей на этапах проектирования и разработки.
•Формирование требований по безопасной разработке и рекомендаций по устранению выявленных недостатков.
•Участие в threat modeling и анализе архитектурных решений с точки зрения безопасности приложений.
•Сопровождение устранения уязвимостей совместно с командами разработки, повторная проверка исправлений.
•Участие в развитии и эксплуатации процессов SAST/DAST/SCA, включая настройку правил, анализ результатов и интеграцию проверок в SDLC/CI/CD.
•Участие в развитии внутренних стандартов, методик и чек-листов безопасной разработки.
•Консультирование разработчиков, аналитиков и архитекторов по вопросам Application Security.
•Участие в разборе новых техник атак и оценке их применимости к информационным системам Банка.
Требования
•Законченное высшее техническое образование.
•Базовые навыки администрирования операционных систем Linux, Windows.
•Уверенные навыки: BurpSuite, решения классов SAST/DAST, Postman.
•Системное и аналитическое мышление, самостоятельность, умение аргументировать риски как на языке бизнеса, так и на языке разработки.
•Знание принципов безопасной разработки SSDLC, уверенное знание OWASP top 10, OWASP API Security Top 10.
•Понимание основных классов уязвимостей и способов их эксплуатации и устранения.
•Понимание механизмов аутентификации и авторизации, управления сессиями, принципов безопасного хранения и передачи чувствительных данных.
•Навыки ручного и автоматизированного анализа защищенности.
•Умение валидировать результаты автоматизированных средств анализа, отсекать шум, оценивать эксплуатируемость и фактический риск уязвимости.
•Умение читать и анализировать исходный код как минимум на уровне, достаточном для поиска причин уязвимости и обсуждения исправления с разработчиком.
Будет плюсом: опыт работы пентестером, участие в bugbounty, ctf.
Условия
Условий в вакансии нет
