Описание
METASCAN — российский разработчик платформы для обнаружения и управления уязвимостями внешнего периметра. Платформа объединяет специализированные движки и микросервисы, проводит проверки на сетевом и прикладном уровнях и работает с большими объёмами данных. Нашими решениями пользуются Сбербанк, ВТБ, Альфа-Банк, Газпромбанк, Ростелеком, Wildberries, DNS и другие крупные компании. Сейчас мы ищем offensive security developer (пентестера-исследователя), который присоединится к команде R&D.
Задачи
•Поддерживать и обслуживать 33+ инструмента: Burp Suite, OWASP ZAP, Nmap, ffuf, dirsearch, Feroxbuster, Subfinder, Amass, Nuclei и д.р.
•Интеграция новых утилит в существующие процессы, адаптация под нашу среду, решение сложных технических вопросов
•Ресерч приложений на портах, определяемых nmap как «unknown»
•Разработка безопасных PoC и сигнатур для новых CVE
•Реализация проверок в формате Nuclei-шаблонов, NSE-скриптов или модулей движка
•Написание unit/integration тестов и документации, участие в code-review
Требования
•Коммерческий опыт пентестера, багхантера или участника Red Team от 3х лет
•Опыт работы с пентест-инструментами: Burp Suite, OWASP ZAP, Nmap, ffuf, dirsearch, Feroxbuster, Subfinder, Amass, Nuclei
•Опыт работы с коммерческими сканерами: Qualys, Nessus, Rapid7, Acunetix
•Опыт работы с методологиями OWASP, MITRE ATT&CK
•Знание Linux на уровне администратора
•Практические знания сетевых протоколов: TCP/IP, TLS/SSL, RTSP, DNS, SSH, SMTP, ISAKMP, FTP, SMB, RDP
•Уверенное владение Python3
•Опыт работы с Docker
•Понимание практик безопасного тестирования: isolated labs, responsible disclosure
•Умение документировать решения, писать тесты, работать в командной разработке
•Английский — на уровне чтения технической документации (B1)
Будет плюсом:
•Опыт разработки на Go/Java/Lua/Ruby
•Публикации/PR в OSS проектах (ZAP, Nuclei, dirsearch)
Условия
•Возможность развивать собственный продукт в сфере информационной безопасности, которым ежедневно пользуются крупные компании
•Задачи, которые напрямую влияют на защищённость реальной инфраструктуры
•Технические решения, которые можно обсуждать, аргументировать и менять
•Сильная команда разработчиков и экспертов по информационной безопасности
•Открытое общение без лишней бюрократии и многоуровневых согласований
•Оформление по ТК РФ в IT-аккредитованной компании
•Полностью удалённый формат работы, взаимодействие команды в Discord
•Техника и всё необходимое для работы
•Компенсация профильного обучения, конференций и профессионального развития
•Корпоративные мероприятия, дополнительные выходные и компенсация спорта, английского языка или психолога
