Application Security Analyst будет отвечать за безопасность web-приложений компании — от архитектуры до продакшена. Кандидат будет работать в связке с командами разработки и DevOps, встраивать процессы security-by-design и находить/устранять уязвимости до того, как они попадут в прод.
Задачи:
· SAST/DAST/SCA:
- Внедрение и настройка инструментов статического (SAST), динамического (DAST) анализа и анализа зависимостей (SCA) в CI/CD;
- Тюнинг правил под стек компании, снижение false positive;
- Формирование процесса triage находок совместно с разработкой;
· Security code review:
- Ревью кода критичных модулей (аутентификация, работа с приватными ключами, обработка транзакций, интеграции с блокчейн-нодами/кастодианами);
- Проверка безопасности при code review;
· Threat modeling и архитектура:
- Проведение threat modeling для нового функционала и сервисов;
- Участие в архитектурных ревью с точки зрения безопасности;
- Оценка рисков при интеграции с внешними сервисами (payment providers, блокчейн-ноды, KYC/AML-провайдеры и т.п.;
· Общее:
- Взаимодействие с development и DevOps командами, обучение разработчиков secure coding практикам;
- Участие в bug bounty программе (триаж, валидация репортов);
- Ведение технической документации и security-гайдлайнов.
Мы ожидаем:
· 3+ года опыта в Application Security / AppSec, из них не менее 2 лет на позициях с самостоятельным ведением проектов;
· Предыдущий опыт в смежной сфере на смежной IT должности (суммарный опыт в IT должен быть не менее 5 лет);
· Уверенное практическое владение OWASP Top 10, OWASP ASVS, OWASP API Security Top 10;
· Опыт проведения pentest web-приложений и API (ручной анализ + инструменты: Burp Suite Pro, OWASP ZAP и др.);
· Опыт внедрения и администрирования SAST/DAST/SCA инструментов (например: Semgrep, CodeQL, Checkmarx, SonarQube, Snyk, Dependency-Track, OWASP Dependency-Check);
· Опыт проведения security code review (уверенное чтение кода минимум на одном из языков: Java/Kotlin, Go, Python, C#);
· Практический опыт threat modeling (STRIDE, DREAD, PASTA или собственная методология);
· Знание сетевых и аутентификационных протоколов (TCP/IP, TLS, OAuth2/OIDC, JWT и пр.);
· Опыт работы с CI/CD (GitLab CI, Jenkins, GitHub Actions и пр.) и встраивания security-инструментария в пайплайны;
· Понимание облачной инфраструктуры и контейнеризации (Docker, Kubernetes) с точки зрения security;
· Английский язык — уровень чтения технической документации (Intermediate+);
· Личные качества: внимательность к деталям и умение мыслить "как атакующий", способность аргументированно доносить риски ИБ, проактивность — готовность предлагать улучшения процессов, а не только находить; баги, умение работать в условиях высокой скорости разработки без потери качества security-контроля.
Будет плюсом:
· Опыт работы в блокчейн-индустрии, финтехе или Web3-проектах;
· Понимание принципов работы блокчейн-транзакций, криптографии (симметричное/асимметричное шифрование, хэширование, подписи), управления приватными ключами и custody-решений;
· Профильные сертификации: OSCP, WAPT, OSWE, CEH и пр.;
· Опыт аудита смарт-контрактов (Solidity) или базовое понимание Web3-специфичных атак (reentrancy, front-running, flash loan attacks);
· Опыт участия в bug bounty программах (как исследователь или как триаж-специалист со стороны компании);
· Опыт с DevSecOps практиками и построением security-процессов "с нуля";
· Знание регуляторных требований: PCI DSS, ISO 27001, SOC 2;
· Опыт использования Infrastructure as Code (Terraform) и security-сканирования IaC.
Мы предлагаем:
· Оформление официальное по ТК РФ/ИП;
· Конкурентная «белая» заработная плата (обсуждается по итогам интервью);
· Формат работы: гибрид, 1 день в офисе обязательно, остальные по необходимости;
· Предоставление ДМС;
· Фитнес;
· Курсы повышения квалификации на ежегодной основе (по согласованию);
· Самые инновационные, амбициозные проекты и задачи;
· Корп.мероприятия (настолки, боулинг, квесты и т.д.), подарки на НГ детям сотрудников Компании и другие мероприятия для поддержания хорошего настроения;
· Возможность публиковать свои проф. статьи на Хабр в нашем блоге с сохранением своего авторства – как повышение своего уровня экспертности в проф.среде;
· Возможность профессионального и карьерного роста.