AppSec-инженер мессенджера

ВКонтакте; United States; Remote; USD 120,000 - 180,000; Full time

Benefits offered by this job

Гибкий график работы

Бонусы и скидки от партнеров

Офис в центре города

ДМС

Профессиональная команда

Job summary

ВКонтакте в Москве ищет опытного инженера по Application Security для поддержки безопасной разработки и развития SDLC. Вы будете сотрудничать с командами разработки, архитектуры и DevOps, чтобы внедрить практики безопасности на всех этапах цикла жизни проекта.

Кандидат проведет пентесты, возглавит работу с SAST/DAST и примет участие в программах Bug Bounty, а также будет развивать чек-листы и руководства по secure coding, управлять уязвимостями и проводить обучающие воркшопы.

Qualifications

• Опыт работы на позиции AppSec Engineer или пентестера веб-приложений от двух лет.
• Глубокое понимание OWASP Top 10, CWE Top 25 и основных уязвимостей веб-приложений.
• Опыт работы с SAST/DAST/SCA инструментами (Burp Suite, OWASP ZAP и др.).
• Чтение и понимание кода на Python, Go, Java или JavaScript.
• Знание HTTP/HTTPS, SSL/TLS, REST API, JWT.
• Опыт CI/CD систем: GitLab CI, GitHub Actions, Jenkins.
• Умение объяснять сложности безопасности разработчикам.
• Стремление к автоматизации и обучению.

Responsibilities

• Внедрение и развитие процессов Security SDLC: интеграция проверок безопасности на всех этапах разработки.
• Пентест и исследования: ручное тестирование безопасности веб/мобильных приложений и API.
• Участие в программах Bug Bounty и анализ жалоб.
• Работа со SAST/DAST: выбор инструментов, триаж и рекомендации к исправлениям.
• Код-ревью: анализ исходного кода на уязвимости (OWASP Top 10, CWE).
• Консультирование команд и проведение воркшопов по безопасности.
• Управление уязвимостями: классификация, приоритизация, контроль устранения.
• Разработка безопасных стандартов: чек-листы и гайды по secure coding.

Skills

AppSec

PenTesting

Threat modelling

OWASP Top10

CI/CD

SAST/DAST

Python/Go/Java/JS

Tools

Burp Suite

OWASP ZAP

Job description

Описание

Мы разрабатываем крупнейший мессенджер в России, чтобы соединять людей, сервисы и компании. Наша миссия — создавать простые и удобные инструменты коммуникации. Ищем в команду опытного инженера Application Security для поддержки и развития процессов безопасной разработки.

Задачи

• Внедрение и развитие процессов Security SDLC: интеграция проверок безопасности на всех этапах разработки — от проектирования (Security Champions, threat modeling) до запуска в продакшн
• Пентест и исследования: проведение ручного тестирования безопасности веб-приложений, мобильных приложений и API;
• Участие в программах Bug Bounty
• Работа со статическим и динамическим анализом кода (SAST/DAST): использование автоматизированных инструментов сканирования, триаж и написание рекомендаций по устранению
• Код-ревью: проведение экспертного анализа исходного кода на предмет уязвимостей (OWASP Top 10, CWE)
• Консультирование команд: тесная работа с разработчиками, архитекторами и DevOps-инженерами. Объяснение уязвимостей, помощь в поиске лучших способов их устранения, проведение воркшопов
• Управление уязвимостями: классификация, приоритизация и контроль устранения найденных уязвимостей
• Разработка безопасных стандартов: создание и внедрение чек-листов, гайдов и лучших практик (secure coding guidelines) для разработчиков

Требования

• Опыт работы на позиции AppSec Engineer или пентестера веб-приложений от двух лет
• Глубокое понимание OWASP Top 10, CWE Top 25, принципов построения веб-приложений и типовых уязвимостей
• Опыт работы с одним или несколькими инструментами SAST, DAST, SCA (Burp Suite, OWASP ZAP и так далее)
• Умение читать и понимать код на одном из языков программирования, например на Python, Go, Java, Java Script
• Знание основных протоколов и технологий: HTTP/HTTPS, SSL/TLS, REST API, JSON Web Tokens (JWT)
• Понимание принципов работы современных CI/CD-систем (GitLab CI, GitHub Actions, Jenkins)
• Умение понятно объяснять сложные концепции безопасности разработчикам
• Стремление автоматизировать рутину и постоянно учиться новому
• Будет плюсом: Опыт проведения threat modeling; Навыки в области облачной безопасности; Знание контейнеризации (Docker, Kubernetes) и принципов DevSecOps; Наличие публичных работ (статьи, доклады, выводы CVE) или участие в программах Bug Bounty и конференциях;
• Соответствующие сертификации: OSCP, OSWE, GWEB, CSSLP и другие

Условия

• Гибкий график работы
• Бонусы и скидки от партнеров
• Офис в центре города
• ДМС
• Профессиональная команда