Локация
Удалённо из любой страны или гибридный офис; требуется удобный часовой пояс для работы с графиком по МСК. Для специалистов в Москве доступен офис.
Компания
Распределенная команда из более чем 800 специалистов разрабатывает рекламные платформы, игровые и мобильные игровые сервисы, финтех-продукты и другие собственные решения с 2012 года.
Что делать
•Проводить ручные пентесты веб-приложений и API в форматах black-box, grey-box и white-box, включая REST, GraphQL, gRPC и WebSocket.
•Тестировать безопасность AI/LLM-функциональности, включая Prompt Injection, Data Leakage, RAG, MCP и Agentic AI по OWASP Top 10 for LLM.
•Анализировать аутентификацию, авторизацию, контроль доступа и multi-tenancy, а также находить технические и бизнес-логические уязвимости.
•Исследовать клиентскую и серверную части, зависимости, Software Supply Chain и исходный код; строить сложные цепочки атак.
•Разрабатывать offensive-инструменты, PoC, расширения Burp Suite и средства автоматизации на Python и JavaScript.
•Готовить технические отчеты, проводить ретесты и участвовать в Threat Modeling, Security Architecture Review и Purple Team-активностях.
Требования
•4–5 лет опыта ручного пентеста веб-приложений и API; уверенное владение методиками black-box, grey-box и white-box.
•Глубокое знание OWASP Top 10 и практический опыт эксплуатации XSS, SSRF, SSTI, SQL/NoSQL Injection, XXE, Deserialization, CSRF, CORS, Prototype Pollution и Path Traversal.
•Опыт тестирования REST, GraphQL, gRPC и WebSocket API, поиска бизнес-логических уязвимостей и обхода механизмов защиты.
•Опыт анализа OAuth 2.0, OIDC, SAML, JWT, SSO и MFA, включая поиск ошибок реализации.
•Экспертное владение Burp Suite Professional, а также уверенное знание Python и JavaScript/TypeScript для разработки PoC, эксплойтов и автоматизации.
•Опыт Security Research и анализа современных фреймворков и архитектур, включая React, Angular, Vue, Spring, .NET, Node.js и Go.
Хорошо, если есть
•Опыт тестирования AI/LLM-приложений.
•Опыт разработки собственных расширений Burp Suite.
•Участие в Threat Modeling, Security Architecture Review или Purple Team.
Культура и преимущества
•Проектно-ориентированная работа, матричная структура и командное взаимодействие по Scrum и Agile.
•Full remote или гибридный формат с возможностью работать из любой страны.
•Гибкий график: начало рабочего дня с 9:00 до 11:00 по МСК и 8-часовой рабочий день.
•Несколько вариантов оформления и способов выплат, оборудование с доставкой на дом.
•Performance review, внутренняя Академия, партнерские образовательные программы, тех-комьюнити и митапы.
•Онлайн- и офлайн-турниры, co-working-дни, тимбилдинги и локальные встречи для удаленных специалистов.
