Вакансии

Location: Москва Workplace: гибкий Мы разрабатываем крупнейший мессенджер в России, чтобы соединять людей, сервисы и компании. Наша миссия — создавать простые и удобные инструменты коммуникации. Ищем в команду опытного инженера Application Security для поддержки и развития процессов безопасной разработки. Задачи Внедрение и развитие процессов Security SDLC: интеграция проверок безопасности на всех этапах разработки — от проектирования (Security Champions, threat modeling) до запуска в продакшен Пентест и исследования: проведение ручного тестирования безопасности веб-приложений, мобильных приложений и API; участие в программах Bug Bounty Работа со статическим и динамическим анализом кода (SAST/DAST): использование автоматизированных инструментов сканирования, триаж и написание рекомендаций по устранению Код-ревью: проведение экспертного анализа исходного кода на предмет уязвимостей (OWASP Top 10, CWE) Консультирование команд: тесная работа с разработчиками, архитекторами и DevOps-инженерами. Объяснение уязвимостей, помощь в поиске лучших способов их устранения, проведение воркшопов Управление уязвимостями: классификация, приоритизация и контроль устранения найденных уязвимостей Разработка безопасных стандартов: создание и внедрение чек-листов, гайдов и лучших практик (secure coding guidelines) для разработчиков Требования Опыт работы на позиции AppSec Engineer или пентестера веб-приложений от двух лет Глубокое понимание OWASP Top 10, CWE Top 25, принципов построения веб-приложений и типовых уязвимостей Опыт работы с одним или несколькими инструментами SAST, DAST, SCA (Burp Suite, OWASP ZAP и так далее) Умение читать и понимать код на одном из языков программирования, например на Python, Go, Java, Java Script Знание основных протоколов и технологий: HTTP/HTTPS, SSL/TLS, REST API, JSON Web Tokens (JWT) Понимание принципов работы современных CI/CD-систем (GitLab CI, GitHub Actions, Jenkins) Умение понятно объяснять сложные концепции безопасности разработчикам Стремление автоматизировать рутину и постоянно учиться новому Будет плюсом Опыт проведения threat modeling Навыки в области облачной безопасности Знание контейнеризации (Docker, Kubernetes) и принципов DevSecOps Наличие публичных работ (статьи, доклады, выводы CVE) или участие в программах Bug Bounty и конференциях Соответствующие сертификации: OSCP, OSWE, GWEB, CSSLP и другие

Location: Москва Мы ищем AppSec Technical Lead — сильного hands-on эксперта по Application Security, который будет техническим лидером команды из 3 AppSec-инженеров. Вам предстоит развивать практики secure SDLC и DevSecOps, работать с SAST/SCA/DAST/MAST, развивать автоматизацию security-проверок. Обязанности ### Вам предстоит: * быть техническим лидером для команды AppSec-инженеров * помогать команде принимать архитектурные и технические решения в области Application Security * наставлять инженеров, помогать им развивать экспертизу в AppSec, DevSecOps, security code review и автоматизации * проводить ревью технических решений, подходов к анализу уязвимостей, SAST-правил и security-автоматизаций * участвовать в планировании работы команды совместно с Product Owner * помогать приоритизировать задачи с учётом технических рисков, бизнес-контекста и загрузки команды * быть единой точкой входа для PO продукта по вопросам AppSec: статусы, блокеры, риски, roadmap, технические ограничения и потребности команды. * развивать интеграцию security-проверок в CI/CD * разрабатывать и поддерживать правила для SAST-инструментов * улучшать процессы работы с SAST/SCA/DAST/MAST: качество проверок, triage, отчётность, снижение false positives * писать автоматизацию для интеграции сканеров, обработки результатов, обогащения находок и формирования метрик * исследовать и тестировать новые инструменты проверки безопасности приложений * помогать делать security-проверки более полезными для разработчиков и менее шумными для команд. Требования ### Что для нас важно: * опыт в Application Security от 4 лет либо сопоставимый опыт в разработке с последующим переходом в security * практический опыт технического лидерства, наставничества или координации работы AppSec/security-инженеров * глубокое понимание secure SDLC, shift-left security и DevSecOps * практический опыт работы с SAST, SCA, DAST и/или MAST-инструментами * опыт интеграции security-проверок в CI/CD * опыт security code review на одном или нескольких языках: Java/Kotlin, Go, Python * уверенное владение одним из языков: Python/Java/Go * опыт работы с Bash * глубокое понимание OWASP Top 10, OWASP ASVS и OWASP Mobile Top 10 * понимание современных архитектур: микросервисы, REST/gRPC API, Kubernetes, контейнеризация * опыт анализа результатов сканирования, валидации уязвимостей, поиска false positives и приоритизации рисков * практический опыт взаимодействия с разработчиками по исправлению уязвимостей * понимание специфики безопасности мобильных приложений * опыт работы с MAST-инструментами * понимание типовых рисков мобильных приложений: insecure storage, insecure communication, неправильная работа с secrets, jailbreak/root detection, reverse engineering risks, certificate pinning, tampering * опыт анализа Android/iOS-приложений будет преимуществом * инструментальное владение AI для анализа, генерации и автоматизации. Условия ### Мы предлагаем: * комфортный современный офис * офисный формат работы * ежегодный пересмотр зарплаты, годовая премия * корпоративный спортзал и зоны отдыха * более 400 образовательных программ СберУниверситета для профессионального и карьерного развития * программа адаптации и помощь руководителя на старте * расширенный ДМС, льготное страхование для семьи и корпоративная пенсионная программа * гибкий дисконт по ипотечному кредиту, равный 1/3 ключевой ставки ЦБ * подписка Прайм с возможностью совместного использования на трёх близких * вознаграждение за рекомендацию друзей в команду Сбера.

- Участвовать в проработке задач с точки зрения ИБ на всех этапах жизненного цикла проекта. - Проводить анализ архитектуры решений на безопасность и участвовать в согласовании проектной документации.

Location: Global We are the creators of a new fintech era! Our mission is to change this world by making blockchain accessible to everyone in everyday life. WhiteBIT is a global team of over 1,200 professionals united by one mission — to shape the new world order in the Web3 era. Each of our employees is fully engaged in this transformative journey. We work on our blockchain platform, providing maximum transparency and security for more than 8 million users worldwide. Our breakthrough solutions, incredible speed of adaptation to market challenges, and technological superiority are the strengths that take us beyond ordinary companies. Our official partners include the National Football Team of Ukraine, FC Barcelona, Lifecell, FACEIT and VISA. The future of Web3 starts with you: join us as an Application Security Engineer! Requirements 2+ years of experience in Application Security, Product Security, or a related security role. Strong knowledge of web application security, OWASP Top 10, common attack techniques, and secure coding practices. Hands-on experience with threat modeling, security architecture reviews, vulnerability assessment, and penetration testing. Ability to review source code and identify security vulnerabilities. Experience with SAST, DAST, SCA, secrets scanning, and vulnerability-management tools. Understanding of CI/CD pipelines and experience integrating security checks into the SDLC. Knowledge of API security, authentication, authorization, and common security protocols. Familiarity with cloud, container, or Kubernetes security. Basic knowledge of Web3 and smart contract security. Basic scripting or programming skills, preferably in Python or another relevant language. Ability to clearly communicate security risks and remediation guidance to technical and non-technical stakeholders. Responsibilities Perform application security assessments, source-code reviews, and penetration testing. Participate in threat modeling and security architecture reviews for new and existing products. Triage Bug Bounty submissions: validate and reproduce vulnerabilities, assess their severity and business impact, identify duplicates and false positives, communicate with researchers, and coordinate remediation with engineering teams. Identify, prioritize, and track vulnerabilities throughout the remediation process. Provide developers with clear remediation guidance and secure coding recommendations. Support the integration and operation of SAST, DAST, SCA, secrets scanning, and other security tools within CI/CD pipelines. Participate in defining and reviewing security requirements throughout the software development lifecycle. Validate security-tool findings and help reduce false positives. Support investigations and remediation of application-related security incidents. Contribute to application security standards, guidelines, and reusable security controls. Help deliver security training and promote secure development practices across engineering teams. Collaborate with developers, DevOps, QA, product teams, and other security specialists. Monitor emerging application security threats and contribute to improving AppSec processes. Ukrainian (Native) English (B1) Working terms Immerse yourself in Crypto & Web3: Master cutting-edge technologies and become an expert in the most innovative industry. Work with the Fintech of the Future: Develop your skills in digital finance and shape the global market. Take Your Professionalism to the Next Level: Gain unique experience and be part of global transformations. Drive Innovations: Influence the industry and contribute to groundbreaking solutions. Join a Strong Team: Collaborate with top experts worldwide and grow alongside the best. Work-Life Balance & Well-being: Modern equipment. Comfortable working conditions, and an inspiring environment to help you thrive. 24 calendar days of paid leave. Additional days off for national holidays. With us, you’ll dive into the world of unique blockchain technologies, reshape the crypto landscape, and become an innovator in your field. If you’re ready to take on challenges and join our dynamic team, apply now and start a new chapter in your career! Let’s Build the Future Together! WhiteBIT offers all candidates an equal opportunity to join the team. All hiring decisions are made without regard to race, national origin, gender identity or sexual orientation, age, religion, disability, medical condition, marital status, familial status, veteran status, or any other legally protected characteristic of an individual.

Ищем инженера по безопасности ПО от уровня middle, который усилит нашу команду в поиске и устранении уязвимостей. Ключевая задача — настройка и проведение фаззинг‑тестирования с использованием AFL++ и libFuzzer .

-Встраивать и сопровождать процессы SSDLC / DevSecOps в CI/CD. -Настраивать и развивать инструменты SAST, DAST, SCA, Secret Detection, снижать количество ложных срабатываний.

Location: Poland Workplace: remote About airSlate airSlate is a global SaaS technology company that develops no-code workflow automation, electronic signature, and document management solutions. Our award-winning products - SignNow, pdfFiller, DocHub, altaFlow, Instapage, and US Legal Forms - serve over hundreds of millions of  users and more than one million customers worldwide, helping organizations of every size digitize processes, improve efficiency, and transform how they work.   We’re in an exciting phase of growth and transformation, with teammates in more than 20 countries across three continents and main hubs in the United States, Poland, Romania, Ukraine and Philippines.  At airSlate, we’re building value for customers and a culture where growth and innovation go hand in hand. We’re looking for people eager to shape products, scale a company, and thrive in a fast-moving environment. About Cloud and Security team: Our security team protects user data and keeps the airSlate platform stable. We work closely with product, engineering, and operations teams to reduce security risks at every stage, from design to production. We also monitor threats, run system audits, and help everyone in the company follow secure work practices. And now, we are looking for a Senior Security Engineer (Cloud & AppSec) who is prepared to contribute to the next chapter of our company's growth. The person will join our Security Engineering team of five and take on the responsibility of keeping our cloud infrastructure and products secure. As Senior Security Engineer, you will help product and engineering teams build secure products, find and fix risks early, and respond quickly when something goes wrong. What you'll be working on: Secure our AWS and GCP environments: access management (IAM, least privilege, workload identities), network segmentation, encryption, and key and secrets management Find and fix cloud misconfigurations and security risks before they cause problems Set up security logging and monitoring, and investigate suspicious activity Test the security of our web, mobile, and network-based applications Run and improve our security scanning tools (SAST, DAST, SCA) and connect them to CI/CD pipelines Help teams build secure products from the start by joining architecture reviews, threat modeling sessions, and risk assessments Explain security findings clearly and work with engineers until the issues are fixed Handle security incidents of different kinds (application, infrastructure, user-related): investigate, triage, contain, and write post-mortems Prepare for SOC 2 and CASA audits and external assessments together with product and compliance teams Configure and monitor our CDN Work alongside a small, experienced, and proactive team that solves complex problems together What we expect from you: 4+ years of professional experience in information security, application security, or a related field Hands-on experience securing AWS and/or GCP Practical experience with SAST, DAST, and SCA tools, including choosing, setting up, and integrating them into CI/CD Experience in security testing of web, mobile, or network applications Experience in incident response, from investigation to post-mortem Good knowledge of secure development practices across the SDLC, including threat modeling Working knowledge of Bash, Python, Go, or Terraform Clear communication skills and the ability to explain risks so that teams act on them English at B2 level or higher, written and spoken What helps you rock: Experience preparing for compliance audits such as SOC 2, CASA, PCI DSS, or NIST CSF Previous experience as a DevOps engineer or developer What we offer   Flexible working environment - Our teams operate across the globe. We value in‑person collaboration in our hubs, but we also embrace remote and hybrid working. You can work from one of our offices in the United States, Poland, Romania or Ukraine, or remotely from many countries.   Competitive compensation and stock options - We offer salaries that reflect local market conditions and experience,  plus a performance-based bonus system and stock options so you share in the company’s growth.   Professional growth and learning - We invest in your development through courses, conferences, and access to learning resources. We encourage career growth and internal mobility, supporting teammates who want to explore new opportunities within airSlate.   Health and well‑being - We provide comprehensive benefits tailored to each country, including health coverage, wellness programmes and access to fitness options. We also dedicate quarterly company-wide Mental Health Days, when everyone takes time off to rest and recharge.   Family‑friendly culture - Family life is part of who we are, and we embrace it in many forms. From flexibility for parents to our airSlate Junior Club for kids, to company-wide family days and our pet-friendly approach, we’re committed to making work and life easier to balance.   Giving back - We support charitable initiatives around the world through the airSlate Care programme. Our current focus includes humanitarian aid in Ukraine and other regions, matching employee donations and supporting causes chosen by our teams.   Open communication - We encourage transparent dialogue at all levels. From team discussions to company-wide Q&A sessions with our CEO, we make sure everyone has the chance to be heard and to influence how we grow.   It is airSlate's policy to comply with all applicable equal employment opportunity laws by making all employment decisions without unlawful regard or consideration of any individual’s race, religion, ethnicity, color, sex, sexual orientation, gender identity or expressions, transgender status, sexual and other reproductive health decisions, marital status, age, national origin, genetic information, ancestry, citizenship, physical or mental disability, veteran or family status or any other basis protected by applicable national, federal, state, provincial or local law. airSlate's policy prohibits unlawful discrimination based on any of these impermissible bases, as well as any bases or grounds protected by applicable law in each jurisdiction. If you need assistance or an accommodation during the application process because of a disability, it is available upon request. airSlate is pleased to provide such assistance and no applicant will be penalized as a result of such a request. Pursuant to relevant law, where applicable, airSlate will consider for employment qualified applicants with arrest and conviction records.   Read our Recruitment Privacy Notice to Learn how we process your personal information.

Встраивать и сопровождать процессы SSDLC / DevSecOps в CI/CD. Настраивать и развивать инструменты SAST, DAST, SCA, Secret Detection, снижать количество ложных срабатываний.

Location: Remote Workplace: Remote ABOUT THE COMPANY Rain is the global stablecoin payments platform for enterprises, neobanks, platforms, developers, and AI agents. Our technology allows partners to move, store, and use stablecoins instantly and compliantly through global payment cards, rewards, on/offramps, wallets, and cross-border rails. As both a Visa and Mastercard Principal Member, Rain issues cards that work at more than 175 million merchant locations in over 220 countries and territories. Built natively for stablecoins and trusted by more than 100 organizations worldwide, Rain delivers secure, scalable infrastructure that makes money move freely and instantly around the world. You will have the opportunity to deliver massive impact at a hypergrowth company backed by some of the top investors in fintech, crypto, and SaaS. In January 2026, we closed a $250M Series C led by ICONIQ, valuing Rain at $1.95B, with Sapphire Ventures, Dragonfly, Bessemer Venture Partners, Galaxy Ventures, FirstMark, Lightspeed, Norwest, and Endeavor Catalyst also participating. If you're curious, bold, and excited to help shape a borderless financial future, we'd love to talk. OUR ETHOS We believe in an open and flat structure. You will be able to grow into the role that most aligns with your goals. Our team members at all levels have the freedom to explore ideas and impact the roadmap and vision of our company. ABOUT THE TEAM Security Engineering is a small team that answers one question: was it built right? We run our own AI-driven red team against Rain's code and cloud, gate pull requests before they merge, and write the baselines that say how every system should be configured. Our blockchain work is covered. This role owns everything else: the backend services, APIs, cloud, and edge that move real money for real customers. We work closely with Security Operations: we give them high-quality findings to coordinate fixes for, and clear configuration rules they can build detections on. ABOUT THE TEAM Security Engineering makes sure Rain is built right. We run our own AI-driven red team against our code and cloud, gate pull requests before they merge, and set the baselines for how every system is configured. This role owns everything outside blockchain: the backend services, APIs, cloud, and edge that move real money. We give Security Operations high-quality findings to coordinate fixes for, and clear configuration rules to build detections on. ABOUT THE ROLE You'll be Rain's application security expert and the quality bar for every non-chain finding we produce. The calls are yours: what's real, how bad it is, and what has to be fixed before launch. You'll hold the line with engineers when it matters, and make the case so they agree, not just comply. WHAT YOU'LL DO - Review red team findings before they reach engineers: reproduce them, cut false positives, set severity, and write tickets clear enough to fix without a meeting. Improve the scoring that grades them - Harden our backend services and APIs, especially the money-moving paths. You'll often write the fix yourself - Own edge defenses: DDoS protection, rate limiting, WAF rules, and abuse controls - Write secure configuration baselines for our cloud, code, and SaaS, and turn them into automated checks - Grow our PR security gate so more bugs are blocked before merge - Own attack surface coverage, and run architecture reviews on new and high-risk systems - Find, test, and pick the best security tools, whether we buy, adopt, or build WHAT WE'RE LOOKING FOR - 4+ years in application security, product security, or security-minded backend engineering - You've owned security decisions. You can tell a senior engineer their design needs to change and keep a good working relationship - You can read an unfamiliar codebase (TypeScript/Node.js) and find the bug that matters, and you know a scary-sounding finding from a real one - Hands-on cloud security (ideally GCP), Terraform, and edge defenses like WAFs and rate limiting - Experience with threat models or architecture reviews. You've run tool bake-offs and dropped tools that didn't earn their cost - You'd rather ship a check than write a document, and you use AI tools heavily without trusting them blindly BONUS ATTRIBUTES - Fintech, payments, or card issuing background (PCI DSS a plus) - Pentest, bug bounty, or red team experience - Experience building security scanners, static analysis rules, or LLM-based review tools - If you have the background: AI security for our agents and agentic payments, or corporate security alongside IT THINGS THAT ENABLE A FULFILLING, HEALTHY AND HAPPY EXPERIENCE AT RAIN: Unlimited time off 🌴 Unlimited vacation can be daunting, so we require Rainmakers to take 10 days minimum for themselves. Flexible working ☕ We support a flexible workplace – work from home, come into an office, or both. We want everyone to work in an environment where they're their most confident and productive selves. New Rainmakers receive a stipend to set up a comfortable home workspace. Easy to access benefits 🧠 For US Rainmakers, we cover 95% of your health, dental, and vision plan costs and 90% for your dependents, plus a 100% company-subsidized life insurance plan. Retirement goals💡 Plan for the future with confidence. We offer a 401(k) with a 4% company match. Equity plan 📦 Every Rainmaker gets an equity option plan so we all benefit from our success. Health and Wellness 📚 High performance begins from within. Rainmakers receive a monthly stipend to be used for eligible health and wellness spending like gym memberships/fitness classes, massages, acupuncture - whatever recharges you! In-office meals 🍜 Rainmakers working from the office enjoy lunch and dinner on us, covered with a DoorDash credit. Team summits ✨ Summits play an important role at Rain. Time together helps us build relationships and a common destiny. Expect team and company offsites, both domestic and international.

поиск уязвимостей в коде; безопасностью SDLC;

В рамках данной позиции необходимо разрабатывать и внедрять механизмы изоляции и контроля для агентных систем, включая создание песочниц для выполнения инструментов, строгую изоляцию контуров, установку лимитов на действия и реализацию функции аварийного отключения агентов. В задачи входит настройка детального аудита логов действий агентов в продакшене, а также разработка и настройка системы мониторинга аномального поведения с оповещениями о подозрительных паттернах. Требуется проводить моделирование угроз и threat modeling для новых сценариев агентов на этапе проектирования, а также разрабатывать архитектурные решения и фильтры для защиты от атак на LLM, таких как prompt injection, data exfiltration и jailbreak, включая внедрение строгой валидации выходных данных агентов. Необходимо организовывать и проводить атаки на собственные агентные системы для выявления уязвимостей до их эксплуатации злоумышленниками, а также проводить аудит безопасности агентных пайплайнов от команды LLM-инженеров до продакшен-выкатки. Контроль исходящих данных включает обеспечение соблюдения политик по использованию данных и инвентаризацию всех потоков информации, направляемой во внешние LLM-провайдеры. Важной частью работы является настройка IAM и управление секретами, проектирование и внедрение ролевой модели доступа для агентов, определение прав доступа и безопасное хранение с ротацией секретов. Также требуется опыт использования сканеров исходного кода (SAST/DAST), включая подбор, пилотирование, установку, администрирование и интеграцию в CI/CD-конвейер, а также помощь разработчикам в расшифровке результатов и устранении уязвимостей. Кандидат должен уверенно владеть Python, иметь глубокие знания Docker и Linux, а также понимание принципов работы CI/CD. Необходим практический опыт threat modeling, работа с системами управления секретами (например, HashiCorp Vault), внедрение IAM-моделей, настройка песочниц и изолированных окружений. Важно понимание работы LLM и агентных систем, опыт с фреймворками LangChain, LangGraph, MCP и знание принципов Claude Code. Кандидат должен быть готов не только проводить ревью кода, но и самостоятельно проектировать и создавать безопасных агентов.

Задачи: — Проводить проверки приложений и сервисов на наличие уязвимостей (SAST, SCA, DAST, обнаружение секретов, фаззинг), готовить POC‑эксплуатации и понятные отчёты для команд; — Проводить триаж уязвимостей: оценка риска и влияния, приоритизация, постановка задач на исправление, контроль сроков и качества устранения уязвимостей; — Участвовать в проектировании: проводить моделирование угроз (например, STRIDE), ревью архитектуры по безопасности и дизайн‑решений, формулировать требования к аутентификации, авторизации, шифрованию и журналированию; — Развивать SSDLC и DevSecOps: определять и внедрять контроли по безопасности на этапах требований, дизайна, разработки, тестирования и эксплуатации, настраивать гейты безопасности в GitLab CI/CD; — Сопровождать и развивать AppSec‑инструменты: интеграция сканеров в конвейер разработки, настройка политик, исключений и отчётности, участие в выборе и пилотах новых решений; — Участвовать в аудитах безопасности сервисов и разборах инцидентов: анализ причин, выработка устойчивых мер, предотвращающих повторное возникновение уязвимостей целого класса; — Консультировать команды разработки и архитекторов по вопросам безопасной разработки, разбору и устранению уязвимостей, шаблонам безопасного кодирования; — Проводить тренинги, воркшопы и семинары по AppSec (OWASP Top 10 / API Security, безопасная аутентификация и управление сессиями, защита API и интеграций и т.п.); — Исследовать новые векторы атак и тренды в AppSec, предлагать улучшения процессов и инструментов. Требования: — Высшее техническое образование (желательно профильное ИБ или сопоставимый практический опыт в разработке/безопасности приложений); — Опыт работы в роли инженера по безопасности приложений от 3 лет, участие в реальных проектах по защите веб‑ или API‑сервисов в продакшене; — Практический опыт внедрения и эксплуатации инструментов: SAST, SCA, DAST, фаззинг, поиск секретов. Интеграция этих инструментов в CI/CD (желательно GitLab CI/CD); — Опыт работы с Docker, Kubernetes, GitLab (или аналогичными системами контроля версий и CI/CD); — Умение проводить ревью кода с фокусом на безопасность, давать разработчикам понятные и практичные рекомендации; — Владение одним из языков программирования (Python / Go / Bash); — Глубокое понимание причин возникновения и способов эксплуатации уязвимостей из OWASP Top 10 и OWASP API Security, а также практического устранения этих проблем; — Навыки общения: умение объяснить сложные технические риски понятным языком, договариваться о приоритетах, конструктивно отстаивать позицию безопасности; — Готовность брать ответственность за результат: от качества найденных уязвимостей до того, чтобы команда действительно внедрила устойчивое исправление, а не обходной костыль; — Предпочтение отдаётся кандидатам, имеющим опыт работы в транзакционном бизнесе или платежных системах, с глубоким пониманием платёжных технологий и особенностей работы в сегментах B2B/B2G.

Описание проекта: Телеком Требования: — Опыт Security Code Review — Знание основных уязвимостей

Требования: — Опыт Security Code Review — Знание основных уязвимостей Java/Kotlin/.NET и умение находить их в коде — Знание логических уязвимостей, где они могут возникать и опыт их нахождения в коде и диаграммах последовательности — Опыт работы с SemGrep, Solar AppScreener — Опыт написания правил и их оптимизации — Опыт написания правил для GitLeaks — Опыт оптимизации сканирования AppScreener — Знание основных уязвимостей веб и мобильных приложений, умение оценить их критичность — Опыт триажа уязвимостей — Опыт разработки отчетов и рекомендаций по результатам анализа безопасности — Опыт проведения анализа защищенности веб и мобильных приложений — Опыт моделирования угроз и проведения ревью безопасности нового функционала приложений — Умение применять паттерны ООП на Python и написание скриптов инструментов с применением паттернов ООП — Знание английского языка на уровне чтения технической литературы — Готовность самостоятельно разбираться в чужом коде (скриптах) — Ведение базы знаний и технической документации — Работа в Agile/SCRUM командах — Опыт работы с GIT — Знание и опыт работы с CI|CD на базе GitLab Описание проекта: Телеком

Требования: — Опыт Security Code Review — Знание основных уязвимостей Java, Kotlin, .NET и умение находить их в коде — Знание логических уязвимостей, где они могут возникать, и опыт их нахождения в коде и диаграммах последовательности — Опыт работы с SemGrep, Solar AppScreener — Опыт написания правил и их оптимизации — Опыт написания правил для GitLeaks — Опыт оптимизации сканирования AppScreener — Знание основных уязвимостей веб и мобильных приложений, умение оценить их критичность — Опыт триажа уязвимостей — Опыт разработки отчетов и рекомендаций по результатам анализа безопасности — Опыт проведения анализа защищенности веб и мобильных приложений — Опыт моделирования угроз и проведения ревью безопасности нового функционала приложений — Умение применять паттерны ООП на Python и написание скриптов инструментов с применением паттернов ООП — Знание английского языка на уровне чтения технической литературы — Готовность самостоятельно разбираться в чужом коде (скриптах) — Ведение базы знаний и технической документации — Работа в Agile/SCRUM командах — Опыт работы с GIT — Знание и опыт работы с CI/CD на базе GitLab

Требования: Опыт Security Code Review Знание основных уязвимостей Java/Kotlin/.NET и умение находить их в коде Знание логических уязвимостей, где они могут возникать и опыт их нахождения в коде и диаграммах последовательности Опыт работы с SemGrep, Solar AppScreener. Опыт написания правил и их оптимизации Опыт написания правил для GitLeaks Опыт оптимизации сканирования AppScreener Знание основных уязвимостей веб и мобильных приложений. Умение оценить их критичность Опыт триажа уязвимостей Опыт разработки отчетов и рекомендаций по результатам анализа безопасности Опыт проведения анализа защищенности веб и мобильных приложений Опыт моделирования угроз и проведения ревью безопасности нового функционала приложений Уметь применять паттерны ООП на Python и написание скриптов инструментов с применением паттернов ООП Знать английский язык на уровне чтения технической литературы Готовность самостоятельно разбираться в чужом коде (скриптах) Ведение базы знаний и технической документации Работа в Agile/SCRUM командах Опыт работы с GIT Знание и опыт работы с CI|CD на базе GitLab

Задачи: — Проводить оценку архитектуры решений и готовности сервиса к запуску с точки зрения безопасности; — Анализировать отчеты SSDLC сканеров, bug bounty; — Разрабатывать рекомендации по устранению уязвимостей, ставить задачи на команды, проверять устранения; — Дорабатывать правила для SSDLC сканеров и WAF; — Заниматься построением и развитием процессов SSDLC; — Заниматься написанием политик и инструкций по информационной безопасности в своей зоне ответственности; — Обучать и консультировать команды разработки в области информационной безопасности. Требования: — Знаешь принципы безопасной разработки; — Имеешь опыт анализа архитектуры приложений и отдельных технологических процессов с точки зрения безопасности; — Имеешь навыки определения и устранения уязвимостей в веб и мобильных приложениях; — Работал с инструментами SAST, DAST, SCA, WAF; — Знаешь типовые протоколы аутентификации, базовые принципы криптографии; — Имеешь навыки работы в команде. Желательно, но не обязательно: — Умение разбираться в чужом коде (Java, JavaScript, TypeScript, Kotlin, Swift); — Навыки автоматизации задач с помощью скриптовых языков (Python, Go); — Практический опыт работы с Linux, Docker, Kubernetes. Условия: — Оформление по трудовому кодексу. Полностью белая зарплата. — Каждый месяц отдельная сумма на питание. — Регулярные тимбилдинги, спортивные забеги, корпоративные праздники. — ДМС включает стоматологию и полис путешественника. — Обучение за счёт компании: тренинги, конференции, митапы, курсы английского. — Выдача ноутбука и всего необходимого для работы. — Возможность работать в красивом и удобном офисе с кофе, сладостями и фруктами. — Бесплатные онлайн-консультации психологов, юристов, специалистов по финансам и ЗОЖ, ветеринаров. — Офисы в Нижнем Новгороде, Москве и Петербурге.

Задачи: — Проверять безопасность сервисов, приложений, архитектуры, новых фич и сопровождать внедрение мер по устранению выявленных рисков — Давать рекомендации по построению безопасной архитектуры, описывать целевую архитектуру по лучшим практикам (в том числе OWASP) — Анализировать код разрабатываемых сервисов на наличие уязвимостей — Проводить аудит безопасности сред и приложений (web, API, mobile) — Проводить аудит и тестирование программ лояльности на предмет безопасности и возможных злоупотреблений, включая анализ бизнес-логики — Составлять отчеты по результатам аудитов, заводить задачи в Jira с рекомендациями, сопровождать их до закрытия и перепроверки, контролировать недопущение роста технического долга безопасности — Строить и поддерживать модели угроз по закрепленным сервисам — Составлять рекомендации по улучшению автоматических сканеров анализа уязвимостей совместно с DevSecOps — Анализировать уязвимости по программе bug bounty: триаж, оценка, рекомендации — Оказывать помощь младшим специалистам команды, участвовать в их обучении и передаче экспертизы Требования: — Коммерческий опыт работы в AppSec / анализе защищённости от 5 лет — Глубокие знания web-технологий, понимание архитектуры микросервисных приложений — Понимание природы уязвимостей из OWASP Top 10 и OWASP Mobile Top 10 и умение их эксплуатировать — Умение работать с инструментами: nmap, BurpSuite, ZAP, MSF, SQLmap, nuclei, mobsf, gobuster и другими, способность объяснить их работу в боевом режиме — Опыт построения моделей угроз (STRIDE / threat modeling) и ревью архитектуры — Опыт анализа кода с точки зрения безопасности хотя бы на одном из распространенных стеков — Опыт тестирования на проникновение веб-приложений, мобильных приложений и API от 3 лет — Знания принципов работы средств защиты информации (WAF и решений на уровне сервиса) — Умение обходить защиту на уровне приложений и средств защиты информации Преимущества: — Опыт работы в e-commerce, fintech или маркетплейсах (понимание рисков платежей, авторизации, бонусных систем, программ лояльности) — Понимание инфраструктурных уязвимостей — Навыки работы со скриптами (Python, Bash) для автоматизации тестов — Наличие профильных сертификатов — Успешный опыт участия в CTF — Высшее образование в сфере ИБ или ИТ Условия: — Аккредитованная IT-компания, развивающая один из ТОП-10 крупнейших интернет-магазинов страны — Персональное предложение по заработной плате и официальное трудоустройство — Гибридный формат работы — Помощь карьерного консультанта для выбора индивидуального направления развития — Широкий социальный пакет со стоматологией, компенсация питания в офисе, скидки и бонусы от партнеров — Современное оборудование для работы — Стильный и уютный офис в центре Екатеринбурга и Москвы — Корпоративная культура, уважение индивидуальности, отсутствие дресс-кода — Изучение английского языка, компенсация обучений и развитие в онлайн-университете