DevSecOps специалист

Задачи: — Настройка и проведение фаззинг-тестирования системного и прикладного ПО с использованием AFL++, libFuzzer и аналогичных инструментов. — Подготовка окружений для фаззинга: сборка проектов с инструментированием, настройка компиляторов, санитайзеров и параметров запуска. — Анализ исходного кода и архитектуры приложений для выбора целей фаззинга, определения точек входа и подготовки harness-обёрток для тестируемых компонентов. — Настройка сбора и анализа покрытия кода, оценка эффективности фаззинга и оптимизация его производительности. — Интеграция фаззинг-тестирования в CI/CD-конвейеры, разработка скриптов и переиспользуемых компонентов для автоматизации запусков и обработки результатов. — Проведение статического и динамического анализа кода с использованием SAST/DAST-инструментов, валидация результатов и отсеивание ложных срабатываний. — Анализ сторонних зависимостей с помощью SCA-инструментов и поиск секретов в исходном коде. — Участие в развитии процессов безопасной разработки (SSDLC) и сопровождении технических требований ГОСТ Р 56939-2024. Требования: — Уверенное владение Linux, командной строкой и инструментами диагностики и отладки. — Практический опыт настройки и запуска фаззеров, например AFL++ или libFuzzer. — Понимание принципов coverage-guided fuzzing, механизмов мутации входных данных и влияния покрытия кода на эффективность фаззинга. — Опыт сборки проектов с инструментированием, работы с компиляторами и санитайзерами, например AddressSanitizer и UndefinedBehaviorSanitizer. — Навыки программирования или автоматизации на Python и/или Bash. — Опыт работы с CI/CD-системами (Jenkins, GitLab CI, GitHub Actions или аналогичными) и автоматизации тестирования. — Понимание принципов статического анализа кода и умение проверять результаты автоматизированных инструментов. Будет плюсом: — Опыт построения инфраструктуры для параллельного или распределённого фаззинга, управления несколькими агентами и сбора результатов. — Опыт работы с afl-cov, gcov, llvm-cov или аналогичными инструментами анализа покрытия кода. — Опыт фаззинга системных библиотек, сетевых сервисов, парсеров, протоколов или компонентов баз данных. — Опыт работы с SAST-инструментами: Svace, Semgrep, CodeQL, SonarQube, Bandit и другими. — Опыт работы с DAST-инструментами, Valgrind и санитайзерами. — Опыт использования Trivy, Dependency-Track, Gitleaks, TruffleHog и аналогичных инструментов. Этапы подбора: 1) Созвон с рекрутером (10мин) 2) Техническое онлайн интервью (1 час) 3) Короткое тестовое задание (2 часа максимум) 4) Встреча/знакомство с командой в офисе