Application security engineer

Онлайн-школа Фоксфорд; United States; Remote; USD 21,000 - 31,000; Full time

Benefits offered by this job

ДМС (стоматология) и психолог

Обучение и конференции

Скидки на продукты Foxford

Доступ к онлайн-библиотеке

Возможность офиса в Москве

Job summary

Фоксфорд — онлайн-школа, занимающая лидирующие позиции на рынке EducationTech и имеющая офис в Москве. В нашей команде информационной безопасности насчитывается 10 специалистов, мы развиваем безопасную разработку и защищаем продукты, помогаем миллионам школьников превращать интересы в достижения.

Ваша роль — усиливать SSDLC, анализировать результаты сканнеров, моделировать угрозы и настраивать защиту через WAF; взаимодействовать с командами разработки и участвовать в Bug Bounty.

Qualifications

• Опыт AppSec не менее 3 лет.
• Умение проводить WhiteBox и BlackBox тестирование.
• Знание OWASP Top 10 и CWE Top 25 как базы для выявления уязвимостей.
• Реальный пентест-опыт и участие в bug bounty.
• Понимание угроз и умение строить защиту ПО.

Responsibilities

• Развивать процесс безопасной разработки (SSDLC).
• Разбирать результаты сканеров и отсеивать ложные срабатывания.
• Участвовать в проработке архитектуры приложений: моделировать угрозы STRIDE, OWASP, настраивать защиту через WAF.
• Взаимодействовать с ИТ-командами по устранению уязвимостей.
• Разбирать Bug Bounty отчёты и сопровождать их устранение.

Skills

Опыт AppSec

WhiteBox/BlackBox тестирование

OWASP Top 10 / CWE Top 25

Пентест опыт

Моделирование угроз

Защита ПО

Tools

Burp Suite

OWASP ZAP

WAF

Job description

Описание

Привет! На связи команда онлайн-школы «Фоксфорд». «Фоксфорд» — это продуктовая Edtech-компания. Мы входим в топ-3 крупнейших EdTech-компаний в детском сегменте и уже имеем 13 миллионов зарегистрированных пользователей. У нас своя продуктовая разработка, офис в Москве и 1800+ сотрудников в штате – благодаря вниманию к которым последние 3 года мы становились лучшим работодателем в отрасли «Наука и образование» по версии Headhunter :). В нашей команде информационной безопасности 10 человек: специалисты по безопасности приложений, инженеры по защите инфраструктуры и методологи.

Задачи

• развивать процесс безопасной разработки (SSDLC)
• разбирать результаты сканеров, отсеивать ложные срабатывания
• участвовать в проработке и согласовании архитектуры приложений: моделировать угрозы (STRIDE, OWASP), выявлять архитектурные недостатки, заниматься динамическим анализом приложений (DAST), настраивать защиту веб-приложений с помощью WAF
• взаимодействовать с ИТ-командой при устранении уязвимостей
• разбирать Bug Bounty отчёты и сопровождать их устранение

Требования

• в AppSec больше 3 лет
• умеешь тестировать приложения с доступом к коду и без (WhiteBox и BlackBox)
• используешь OWASP Top 10 и CWE Top 25 как базу для выявления уязвимостей
• имеешь реальный pentest-опыт и участвовал(а) в bug bounty-программах
• разбираешься в ключевых концепциях, мерах и процедурах безопасности
• понимаешь, какие угрозы сегодня актуальны для ПО и как от них защищаться
• знаешь как используют основные уязвимости, и умеешь выстраивать защиту

Условия

• наш продукт – социально значимый, через образование мы помогаем миллионам школьников превращать интересы в достижения
• ежегодный пересмотр оклада по результатам перформанс-ревью
• удалённая работа на территории РФ (есть классный офис в Москве для тех, кто предпочитает очный формат)
• график стандартный 5/2, но начало и конец рабочего дня – гибкие.
• Нам важнее результат
• берем на себя затраты на обучение или участие в конференциях, помогаем изучать иностранные языки на корпоративных курсах, даём скидки на продукты «Фоксфорда», доступ к онлайн-библиотеке и компенсируем внешнее обучения, организуем внутренние программы развития и митапы
• ежегодные корпоративы и тимбилдинги
• выдаем шустрый ноутбук для работы
• заботимся о здоровье: ДМС со стоматологией и психологом, компенсация больничного
• А если простынешь – пришлем витаминный бокс :)
• зарплатный проект в Сбере: повышенные ставки по вкладам и бонусы «Спасибо», бесплатные подписки на СберПрайм+, ОККО и Звук, специальные предложения по ипотеке и другие финансовые бенефиты
• мы аккредитованы как IT-компания и поможем воспользоваться разными льготами, в том числе отсрочкой