Pentester

DatsTeam; United States; Remote; USD 120,000 - 180,000; Full time

Benefits offered by this job

Внутренняя Академия

Партнёрские программы

Тимбилдинги и мероприятия

Job summary

DatsTeam ищет специалиста по безопасности с опытом проведения пентестов и анализом сложных уязвимостей в веб-приложениях и API. Вы будете работать удалённо или в гибридном формате, тестировать REST/GraphQL/gRPC, а также оценивать AI/LLM-функциональность и механизмы аутентификации.

Требуется глубокое знание OWASP Top 10, уверенное владение Burp Suite и навыки разработки PoC на Python/JS для автоматизации тестирования и расширения инструментов.

Qualifications

• Опыт ручного пентеста веб-приложений и API от 4–5 лет, владение black-box, grey-box и white-box.
• Глубокое понимание OWASP Top 10 и практика эксплуатации XSS, SSRF, SSRF, SQL/NoSQL Injection и пр.
• Экспертное владение Burp Suite Professional.
• Умение писать PoC на Python/JavaScript/TypeScript для тестирования и автоматизации.

Responsibilities

• Проведение пентестов веб-приложений и API (REST, GraphQL, gRPC, WebSocket).
• Тестирование безопасности AI/LLM-функциональности и сценариев OWASP для LLM.
• Проверка аутентификации и авторизации (OAuth2/OIDC/SAML/JWT/Sso/MFA) и поиск ошибок.
• Поиск и эксплуатация уязвимостей, построение цепочек атак (Attack Paths).
• Анализ безопасности клиентской и серверной части, зависимостей и Software Supply Chain.
• Разработка собственного offensive-инструментария и PoC, расширений Burp Suite.
• Подготовка технических отчетов с рисками и рекомендациями, ретесты.
• Участие в Threat Modeling, Security Architecture Review, Purple Team по желанию.

Skills

Manual pentest

OWASP Top10

Burp Suite

Python

JavaScript

Threat Modeling

Security Architecture

Purple Team

OAuth/OIDC/JWT

API testing

Tools

Burp Suite Pro

Job description

Описание

Наша распределенная команда Dev насчитывает более 800 специалистов и разрабатывает собственные продукты с 2012 года – рекламные платформы, игровые сервисы и платформы, мобильные игровые приложения, финтех-продукты и решения. У нас проектно-ориентированный подход, матричная структура с привязкой специалистов к одному проекту, но при этом мы работаем командой. В работе мы применяем SCRUM, Agile. Ищем профессионала в нашу команду безопасности.

Задачи

• Проведение пентестов web-приложений и API (black-box, grey-box, white-box), включая REST, GraphQL, gRPC и WebSocket.
• Тестирование безопасности AI/LLM-функциональности (Prompt Injection, Data Leakage, RAG, MCP, Agentic AI и другие сценарии по OWASP Top 10 for LLM).
• Проверка механизмов аутентификации и авторизации (OAuth 2.0, OIDC, SAML, JWT, SSO, MFA), а также контроля доступа и поиска ошибок (IDOR/BOLA, эскалация привилегий, multi-tenancy).
• Поиск и эксплуатация технических и бизнес-логических уязвимостей, построение сложных цепочек атак (Attack Paths).
• Анализ безопасности клиентской и серверной части приложений, зависимостей, Software Supply Chain и исходного кода.
• Разработка собственного offensive-инструментария, PoC, расширений Burp Suite и средств автоматизации на Python/JavaScript.
• Подготовка технических отчетов с описанием рисков, рекомендациями по устранению и проведение ретестов после исправлений.
• Участие в Threat Modeling, Security Architecture Review и, при желании, в активностях Purple Team.

Требования

• Опыт проведения ручного пентеста web-приложений и API от 4–5 лет, уверенное владение методиками black-box, grey-box и white-box.
• Глубокое понимание современных web-уязвимостей (OWASP Top 10) и практический опыт эксплуатации XSS, SSRF, SSTI, SQL/NoSQL Injection, XXE, Deserialization, CSRF, CORS, Prototype Pollution, Path Traversal и других.
• Опыт тестирования REST, GraphQL, gRPC, WebSocket API, поиска бизнес-логических уязвимостей и обхода механизмов защиты приложений.
• Практический опыт анализа аутентификации и авторизации (OAuth 2.0, OIDC, SAML, JWT, SSO, MFA), включая поиск ошибок реализации.
• Экспертное владение Burp Suite Professional.
• Уверенное знание Python и JavaScript/TypeScript для разработки PoC, эксплойтов и автоматизации тестирования.
• Опыт проведения Security Research, анализа современных фреймворков и архитектур (React, Angular, Vue, Spring, .NET, Node.js, Go и др.).
• Будет плюсом: опыт разработки собственных расширений будет преимуществом; Будет плюсом опыт тестирования AI/LLM-приложений, участия в Threat Modeling, Security Architecture Review или Purple Team.

Условия

• Несколько вариантов оформления и способов выплат;
• Full remote или гибридный офис, работа из любой страны с удобным часовым поясом;
• Гибкий график - лояльное начало дня с 9.00 до 11.00 по МСК, 8 часов рабочий день;
• Возможность выбрать привычное оборудование с доставкой на дом;
• Performance review и непрерывное обучение: у нас есть внутренняя Академия, а также много партнёрских программ, которые поделятся знаниям не только в профессиональной сфере, но и поддержат твои хобби;
• Развитая культура коммуникаций: турниры онлайн и оффлайн, тех комьюнити, митапы, co-working дни, встречи и пати на летней веранде, тимбилдинги;
• Офис с панорамой на Москву-реку и летняя веранда с гамаками и пиццей для тех, кто работает в Москве и локальные тимбилдинги в других городах и странах для удаленщиков.