Описание вакансии
Коротко о ролиИщем AppSec инженера, способного выявлять уязвимости на уровне кода и архитектуры, а не на уровне отчётов сканеров. Ключевая ценность специалиста — глубокое понимание того, что именно находят SAST/DAST/SCA инструменты, где их слепые зоны, и умение закрывать эти зоны ручной работой.
Задачи:
— Организация процессов безопасной разработки, включая SSDLC, quality gates и управление уязвимостями.
— Внедрение и поддержка процессов для своевременного устранения уязвимостей.
— Проведение design review новых сервисов и функционала на этапе проектирования с выявлением проблем архитектуры, протоколов и trust boundaries.
— Проведение security assessments: ручной аудит кода и бизнес-логики, поиск ошибок бизнес-логики, race conditions, проблем авторизации, уязвимостей JWT, ошибок криптографии, проблем хранения данных и обходов MFA.
— Разработка и поддержка основных security практик, включая гайдлайны для Kotlin и TypeScript, требования к хранению секретов, работе с сессиями и криптографии.
— Работа с программой Bug Bounty: триаж репортов, определение scope, взаимодействие с исследователями.
— Расследование продуктовых security-инцидентов: анализ причин, координация устранения, формирование выводов.
— Обеспечение безопасности CI/CD: управление конвейерами в GitLab, секретами через Vault, контроль supply chain.
— Консультирование и обучение разработчиков по вопросам безопасной разработки.
Требования:
— Уверенное чтение и анализ кода на Kotlin, TypeScript, Node.js, React.
— Глубокое понимание классов веб-уязвимостей, включая обходы фильтров и санитайзеров (path traversal, SQLi, SSRF, десериализация, XXE, prototype pollution, RCE через зависимости и др.).
— Опыт ручного поиска уязвимостей, не выявляемых автоматическими средствами: ошибки бизнес-логики, race conditions, broken authentication и authorization, проблемы JWT и сессий, ошибки криптографии, абьюз trusted boundaries.
— Понимание возможностей и ограничений SAST, DAST, SCA, IAST.
— Практический опыт внедрения и настройки GitLab CI, DefectDojo (или аналогов), SAST/DAST/SCA инструментов.
— Уверенная работа с Linux, понимание сетевых протоколов, опыт работы с Git.
Будет плюсом:
— Опыт в Web3 и blockchain security: аудит смарт-контрактов, безопасность кошельков, работа с криптографическими ключами и подписями, особенности on-chain/off-chain взаимодействия.
— Опыт работы с КриптоПро CSP, КриптоПро УЦ.
— Контрибьюты в open-source security-проекты, опубликованные CVE, выступления на конференциях, публикации.
— Опыт участия в Bug Bounty программах в роли исследователя или триажера.
— Регулярная практика threat modeling (STRIDE, attack trees).
— Углублённые знания в области криптографии.
Условия:
— Официальное трудоустройство по ТК РФ с белой заработной платой.
— Зарплата от 250 000 до 400 000 рублей.
— Аккредитованная ИТ-компания (отсрочка, льготная ипотека).
— Возможность гибкого графика работы.
— Удалённая работа.
— ДМС.
— Частичная компенсация занятий спортом.
— Возможность компенсации профильного обучения.
— Совместные мероприятия и корпоративы.