Описание
Роль отвечает за непрерывную и масштабируемую валидацию безопасности в сложных средах за счёт автономной оркестрации, скриптинга и построения цепочек сетевых и веб-эксплойтов.
Задачи
•Проектировать и выстраивать цепочки эксплойтов, объединяющие несколько уязвимостей для достижения более значимых последствий, например сочетание утечки информации с SSRF для достижения Remote Code Execution
•Разрабатывать кастомные эксплойты и weaponized-скрипты для автоматизации многоэтапных сценариев атак
•Строить и поддерживать автоматизированные потоки аутентификации, программно обрабатывающие OAuth, TOTP и MFA
•Настраивать, масштабировать и эксплуатировать платформы непрерывной автоматизированной валидации безопасности
•Разрабатывать скрипты эксплойтов для безопасной проверки уязвимостей в продуктивных средах без нарушения работы сервисов и повреждения данных
•Анализировать поверхности атаки сетевых и веб-приложений для выявления возможностей автоматизированной эксплуатации
•Сотрудничать с командами безопасности и инженерии, переводя техники ручного пентеста в повторяемые автоматизированные воркфлоу
•Непрерывно улучшать фреймворк и инструментарий офенсив-автоматизации организации
Требования
•5+ лет опыта в offensive security, penetration testing или ролях security engineering
•Не менее 1 года соответствующего опыта лидерства
•Экспертиза в построении цепочек эксплойтов и attack logic, включая последовательное объединение находок низкой критичности в компромисс высокого уровня
•Владение Python для написания кастомных эксплойтов и автоматизации сложных многоэтапных скриптов атак
•Опыт настройки и масштабирования инструментов непрерывной автоматизированной валидации безопасности, таких как Pentera, Cymulate или Picus, включая кастомные архитектуры Pentest Robots
•Глубокие знания модели OSI и основных сетевых протоколов, включая DNS, BGP и TCP/IP
•Понимание веб-уязвимостей, включая OWASP Top 10 и API-уязвимости, такие как IDOR
•Подтверждённая способность разрабатывать автоматизированные скрипты эксплойтов, безопасно проверяющие уязвимости без сбоев сетевой инфраструктуры и повреждения продуктивных баз данных
•Уровень английского не ниже B1+
Будет плюсом
•Навыки в Bash и/или Go для кастомного тулинга и разработки эксплойтов
•Знание OAuth-потоков и программной обработки аутентификации
•Опыт обхода или автоматизации вызовов многофакторной аутентификации
Условия
Условий в вакансии нет
