Описание
Мы ищем пентестера, который копает глубже сканера, способен довести цепочку эксплуатации до доказуемого результата и помогает компании закрыть дыры до того, как ими воспользуется злоумышленник. Если Burp — рабочий стол, а лучший результат для тебя — не отчет, а боевой PoC — ты наш человек.
Задачи
•Плановое и внеплановое тестирование на проникновение всех видов корпоративных систем
•Ручной и автоматизированный анализ защищенности
•Сценарии атак с опорой на актуальные угрозы, MITRE ATT&CK, OWASP — с учётом нашей архитектуры и типовых ролей/доступов
•Участие во внутренних Red Team / Purple Team активностях совместно с SOC
•Оформление результатов своей работы для внутренних команд: описание, шаги, риск, рекомендации
•Работа с привычным стеком offensive утилит и разработка собственных, написание PoC
Требования
•Высшее техническое образование
•Опыт от 3 лет в ИБ, с заметной долей в области практической безопасности
•Знание типовых классов уязвимостей (XSS, SQLi, IDOR, SSRF, RCE, auth/logic flaws и т.д.) и умение с ними работать
•Умение работать с типовым набором offensive утилит, понимание принципов проведения сетевой разведки, эксплуатации и постэксплуатации
•Уверенные знания Linux/Windows (Active Directory), сетей и web-технологий
•Английский - средний и выше (advisories, write-up'ы, документация)
•Bash/Python (или аналог) для автоматизации своей работы
•Дисциплина в работе: ронять прод во время пентеста - это плохо (но бывает), умение работать с чувствительными данными
•Коммуникабельность и умение взаимодействовать с коллегами из других подразделений по результатам работы
Будет плюсом
•Опыт работы в пентест / Red Team командах
•Опыт работы в финтехе
•Bug Bounty / Standoff и т.п. - как реальное подтверждение навыков
•OSCP, OSWE, OSEP и аналоги
•Публичные материалы или исследования в области offensive security
•Опыт работы в крупной внутренней среде: много сервисов, облака, Linux-кластера, Active Directory и т.д.
Условия
Условий в вакансии нет
