Penetration tester in web applications and APIs

ASTON; United States; Hybrid; USD 90,000 - 130,000; Full time

Benefits offered by this job

Релокейт между офисами

ДМС со стоматологией

Бесплатный английский

Оплачиваемый отпуск и больничные

Тимбилдинги и внутренние мероприятия

Конференции и митапы

Job summary

Aston — аккредитованная аутсорсинговая IT-компания, ищет Penetration Tester с опытом от 4 лет. В должности потребуется тестирование Web/API, мобильных приложений, анализ трафика и реверс-инжиниринг. Работать можно удаленно/офисно/гибридно в рамках развивающейся команды.

Требуется знание OWASP Top 10, NIST/BDU и английский Upper-Intermediate+. Преимуществом будут Kubernetes security, Docker security и опыт работы с Active Directory/облачными средами.

Qualifications

• Опыт работы в роли Penetration Tester от 4 лет.
• Знание основных типов уязвимостей и методов их эксплуатации.
• Знание классификации уязвимостей по NIST/BDU.
• Глубокое понимание OWASP Top 10 (Web, API, Mobile, LLM и проч.).
• Умение выстроить процесс тестирования по фазам (PTES).
• Опыт тестирования веб-приложений и API (Burp Suite Pro, ZAP).
• Опыт статического и динамического анализа Android-приложений (APKTool, Jadx, Android Studio).
• Опыт получения root/jailbreak на мобильных устройствах.
• Опыт анализа сетевого трафика (Wireshark, tcpdump).
• Опыт работы с Metasploit.
• Опыт работы со сканерами уязвимостей (Acunetix, MaxPatrol, Security Vision).
• Опыт реверс-инжиниринга (IDA Pro / Ghidra / Binary Ninja).
• Опыт бинарной эксплуатации: буфер-олуп, ROP, use-after-free, heap exploitation.
• Опыт анализа драйверов (WinDbg, Linux kernel).
• Опыт анализа firmware (Binwalk, Firmadyne, Ghidra).
• Знания в криптографии и защите.
• Опыт анализа сторонних библиотек (Dependency-Check, Snyk, Mend, Black Duck).
• Понимание Threat Modeling (STRIDE, PASTA).
• Умение простым языком объяснять сложные вещи разработчикам и руководству.
• Опыт подготовки информативных отчетов для технической и executive-аудитории.
• Знание английского - Upper-Intermediate и выше.

Responsibilities

• Проведение тестирования на наличие уязвимостей в Web/API/мобильных сервисах.
• Построение плана тестирования и описание методик атаки.
• Составление отчетов по результатам тестирования для технической и исполнительной аудитории.
• Участие в создании и улучшении процессов обеспечения безопасности.
• Работа с кросс-функциональными командами для устранения выявленных дефектов.

Skills

Penetration Testing

OWASP Top 10

PTES

Burp Suite

ZAP

APK анализ

Метасплоит

Реверс-инжиниринг

Windows/Linux hardening

Криптоанализ

Tools

Wireshark

tcpdump

Metasploit

Acunetix

MaxPatrol

Security Vision

IDA Pro

Ghidra

Binary Ninja

Binwalk

Firmadyne

Job description

Описание

Aston — аккредитованная аутсорсинговая IT-компания, работающая с 2007 года. Наш штат насчитывает 2500+ специалистов. Мы разрабатываем программное обеспечение и IT-решения в сферах Finance, Healthcare, eCommerce, IoT, Media, Big Data, ML и многом другом. Предлагаем присоединиться в роли Penetration Tester!

Требования

опыт работы в роли Penetration Tester от 4-х лет знание основных типов уязвимостей и методов их эксплуатации знание классификации уязвимостей по NIST, БДУ глубокое понимание OWASP Top 10 (Web, API, Mobile, LLM и др.) умение выстроить процесс тестирования по фазам (PTES) опыт penetration testing web-приложений и API (Burp Suite Professional, ZAP) опыт статического и динамического анализа Android-приложений (APKTool, Jadx, Android Studio) опыт получения root/jailbreak на мобильных устройствах опыт работы с системами анализа сетевого трафика (Wireshark, tcpdump) опыт работы с Metasploit Framework опыт работы со сканерами уязвимостей (Acunetix, MaxPatrol, Security Vision, и тд) опыт работы в реверс-инжиниринг (IDA Pro / Ghidra / Binary Ninja) опыт работы с Binary exploitation: (buffer overflow, ROP, use-after-free, heap exploitation) опыт анализа драйверов (Windows Kernel debugging - WinDbg, Linux kernel) опыт анализа firmware (Binwalk, Firmadyne, Ghidra, анализ вложенных файловых систем) знания в криптографии (алгоритмы, common mistakes, side-channel attacks) опыт анализа сторонних библиотек (Dependency-Check, Snyk, Mend, Black Duck) понимание Threat Modeling (STRIDE, PASTA) умение объяснять сложные технические вещи разработчикам и руководителям опыт подготовки информативных отчетов для технической и executive-аудитории знание английского языка на уровне Upper-Intermediate и выше (чтение документации, CVE, отчётов) Будет плюсом: знание Kubernetes security, Docker security, cloud security (Yandex/VK/Mail); опыт эксплуатации и защиты Active Directory, Windows/Linux hardening; опыт работы с Python/Bash, PowerShell; опыт разработки эксплойтов; знание современных C2-фреймворков и Red-team техник; опыт участия в CTF/Red Team; опыт участия в программах поиска уязвимостей (bug bounty); наличие сертификатов: OSCP, OSWE/OSEP/OSED, eJPT/eWPT/CREST, CISSP/CISM

Условия

возможность прокачать экспертизу в быстроразвивающейся и насыщенной области возможность быть части́ем изменений, улучшений, запусков новых направлений уровень обсуждается индивидуально, есть доплаты за менторство и профактивности долгосрочные проекты от российских заказчиков, возможность менять направления, прозрачная система Performance Review релокейт между офисами, выбор формата работы (удалённо, офис, гибрид), адаптация для новых сотрудников доступ к корпоративному порталу, митапам, конференциям (и как гость, и как спикер) ДМС со стоматологией, частичная компенсация спорта, бесплатный английский, оплачиваемый отпуск и больничные тимбилдинги, детские праздники, внутренние мероприятия