Pentesterka / Pentester Security Ninja

zostansecurity; United States; À distance; USD 85 000 - 130 000; Plein temps

Résumé du poste

zostansecurity poszukuje osoby z pasją do przełamywania zabezpieczeń oraz doświadczeniem w testach bezpieczeństwa aplikacji webowych. Praca zdalna, elastyczne podejście i ukierunkowanie na wysoką jakość; liczą się umiejętności techniczne, samodzielność i ciągłe doskonalenie umiejętności.

Zakres obejmuje testy web, infrastruktury i API, z jasnym raportowaniem podatności i wsparciem przy naprawach. Kandydat powinien potrafić pracować w zespole rozproszonym oraz wykazywać inicjatywę w nauce nowych

Qualifications

• Komercyjne doświadczenie w pentestingu i/lub security testach.
• Solidna samodyscyplina i umiejętność pracy zdalnej.
• Chęć ciągłego uczenia się i poszerzania wiedzy technicznej.
• Znajomość technik przełamywania zabezpieczeń aplikacji webowych i/lub infrastruktury.
• Umiejętności programowania na poziomie umożliwiającym entender kod i tworzenie narzędzi wspierających testy.
• Znajomość systemu GNU/Linux i narzędzi pentesterskich.

Responsabilités

• Wykonywanie testów bezpieczeństwa: aplikacje webowe dominuja (~70%), sieć i API (~30%).
• Dokumentowanie podatności i współpraca z klientem w zakresie sugestii naprawczych.

Connaissances

Pentesting

Web security

Programming

Linux

Description du poste

Rozumiemy, że zmiana pracy to ważna sprawa w życiu. Dlatego wierząc w transparentność i komunikację,przygotowaliśmy ogłoszenie, które powinno odpowiedzieć na sporo pytań.

Kim jesteśmy?

Od wielu lat jesteśmy mistrzami świata w testowaniu bezpieczeństwa! Jesteśmy małym, eksperckim zespołem.Skupiamy się na technicznych aspektach, lubimy ciekawe projekty, stawiamy na jakość wykonywanych przez nastestów. Czym się zajmujemy i kto jest naszym Klientem, sprawdzisz na naszej stronie internetowej .

Poszukujemy sprawnej technicznie, samodzielnej, błyskotliwej osoby, której pasją jest przełamywaniezabezpieczeń. Potrafiącej spojrzeć na problemy szerzej niż z perspektywy OWASP TOP 10, ASVS, jakiejkolwiekinnej metodyki, standardu czy dokumentu. Nie musi być to senior, mistrz świata lub osoba z 10-ciomacertyfikatami. W wyjątkowych przypadkach może być to junior, pod warunkiem, że to jego pasja, szybko się uczyi nie będzie się bał zagłębiania w nowe tematy.

• Pracujemy w środowisku, w którym liczy się wiedza techniczna, a nie liczba posiadanych certyfikatów,sława w branży czy liczba śledzących Cię osób na twitterze.
• Nie chodzimy na kompromisy jeżeli chodzi o naszą pracę. Stawiamy na jakość naszych testów, w każdymprojekcie pasywnie biorą udział wszyscy członkowie naszego zespołu, zgłaszając pomysły, które pomagająspojrzeć na problem z innej perspektywy i prowadzą do znalezienia nowych ścieżek ataku. Przeprowadzamymodelowanie zagrożeń.
• Mamy najlepszy i najbardziej kompetentny na świecie dział office, który zadba o to, by można było skupićsię na swoich zadaniach! Będziesz wiedziećco masz robić i otrzymasz niezbędne nietechniczne wsparcie. Wwiększości nasze projekty opierają się o manualne testy, nie będziesz operatorem Nessusa lub innego narzędziana etat. ;) Też nienawidzimy MS Worda, dlatego napisaliśmy własne narzędzie do generowania raportów,które większość roboty robi za nas! Ponadto mamy własne skrypty i narzędzia, które automatyzują powtarzalnei żmudne elementy testów, dzięki czemu możemy skupić się na merytorycznej części pracy.
• Jesteśmy firmą rozproszoną - nasza praca to nie wieczny „home office”. Tworzyliśmy firmę od początkuw oparciu o zdalną współpracę. Korzystamy ze wszystkich zalet takiej formy, oszczędzamy czas na dojazdy dopracy. Mamy osoby, które spędzają lato nad morzem, bo lubią. Mamy takie, które pracują z byłych miastwojewódzkich, bo są lokalnymi patriotami. Mamy osoby, które pracują z terenów wiejskich, bo lubią po pracypatrzeć na pole. Dzięki nastawieniu na taką współpracę mamy też wypracowane metody komunikacji, narzędzia iprocedury, które umożliwiają nam efektywne działanie i wymianę wiedzy! Nikt z nas nie siedzi zamknięty wsobie, z obrażoną miną, ze słuchawkami na uszach, nie odzywając się do nikogo przez cały dzień, jak to maczęsto miejsce w open space lub pracy stacjonarnej… Zdobyliśmy zaufanie Klientów więc stacjonarnie testujemyich tylko „od święta”. Jeżeli masz dosyć samolotów i ciągłych służbowych podróży, zapraszamy!
• Integracje - pracujemy w środowisku zdalnym, ale to nie znaczy, że się nie widujemy. Kilka razy wroku urządzamy sobie spotkania, podczas których mamy okazję odwiedzić różne miasta w Polsce np. odkryć mrocznetajemnice Łodzi, zwiedzić śląskie kopalnie lub kajakami eksplorować wrocławski odcinek Odry. Oprócz tego, jestto okazja by zwyczajnie porozmawiać o życiu, i powalczyć o przetrwanie w parku linowym czy escape roomie.
• Delegujemy odpowiedzialność - każdy z członków naszego zespołu prowadzi wybrane projekty, w którychpełni funkcję lidera, będącego odpowiedzialnym za jego realizację. Będziesz kontaktował się z Klientem, dbał oposzczególne etapy projektu oraz podejmował decyzje, bez uciążliwego czekania aż zyskasz aprobatę dla swoichdziałań. Jeżeli lubisz być samodzielny i odpowiedzialny, bo przynosi Ci to satysfakcję, LT to idealne miejscedla Ciebie! Jeżeli potrzebujesz mieć „kwit” na każde swoje działanie, są miejsca, gdzie spełnisz się lepiej…;)
• Jesteśmy małą firmą i taką chcemy pozostać - dzięki temu wypracowaliśmy atmosferę, specyficznepoczucie humoru i kulturę pracy, które bardzo sobie cenimy. Pozwala to nam na większą swobodę działaniazarówno wewnątrz firmy, jak i we współpracy z Klientami. Umożliwia to nam również realizację projektów, któresą dla nas ciekawe i chcemy w nich uczestniczyć, m.in. telemedycyna, badanie prototypów fizycznych urządzeń,red teaming, rozwiązania wiodących firm na rynku. Odrzucamy propozycje współpracy, gdzie musielibyśmy działaćwbrew naszym wartościom np. ze szkodą dla jakości pracy. Sprawnie rozwiązujemy problemy pracowników, a ważnedla rozwoju firmy decyzje podejmujemy szybko, uwzględniając przy tym opinie członków zespołu.
• Szczerość - stawiamy na otwartą komunikację, jesteśmy szczerzy wobec siebie. Pozwala nam to naosobiste doskonalenie się i przekłada się na jakość naszej pracy oraz nasze relacje. Czasem trzeba schowaćswoje ego do kieszeni i przetrawić na spokojnie rzeczy, z którymi się nie zgadzamy. Zdajemy sobie sprawę, żenie jest to łatwe, dlatego pracujemy z osobami, które potrafią przyjąć krytykę i skorzystać z niej, a takżesamemu szczerze powiedzieć, gdy widzą pole do poprawy.
• Czasem popełniamy błędy - traktujemy je jako okazję do wzrostu, otwarcie o nich opowiadamy, analizujemyprzyczyny, nie szukamy winnych. Szukamy zmian systemowych, które pozwolą nam optymalizować nasze działaniaw przyszłości.
• Okazję do udziału w projektach od „a” do „z” - każdy pracownik może zobaczyć jak wygląda proceswyceniania (ofertę oczywiście przygotuje dział office!), jak wygląda techniczna realizacja projektu, co dziejesię po jego zakończeniu i jak przekłada się to na namacalną wartość dla naszych Klientów.
• Pracę z prawdziwymi pasjonatami (potrafimy przeglądać wszystkie filmy na youtube, żeby zbadać ekranyprogramistów po to aby odkryć kluczowy katalog; potrafimy spędzić kilka dni szukając błędów w grach, żebyzdobyć roota; znajdujemy błędy w popularnym oprogramowaniu; występujemy na konferencjach w kraju i za granicądzieląc się swoją wiedzą).
• Wspieramy rozwój wszystkich członków naszego zespołu poprzez udział w konferencjach, wewnętrznych izewnętrznych szkoleniach. Mamy ze sobą stały kontakt przy realizacji projektów, który umożliwia nam ciągłedoskonalenie się, a także ogromną wewnętrzną bazę wiedzy. Nasz ulubieniec to cotygodniowe szkolenia,prowadzone przez każdego członka zespołu. Czasem rozmawiamy o meandrach zachowania procesorów, czasem owebsocketach, a czasem o pająkach, przepisie na sukces w teleturniejach telewizyjnych lub tym, jak działająjelita. ;) Mamy również budżet na zakup książek i innych pomocnych materiałów.Jeśli zechcesz, możesz brać udział w dyskusjach o tym jak działa świat, ekonomia, społeczeństwo. Dzielimy sięstreszczeniami książek, podcastów czy prezentacji.
• Możliwośćudziału w wewnętrznych badaniach (research & destroy) - wspieramy w rozwijaniu własnychprojektów związanych z bezpieczeństwem. Wyniki tych prac publikujemy na konferencjach lub na naszym blogu.
• Niekorporacyjna normalna atmosfera pracy, polubimy będziemy tolerować Twójdres i klapki.
• Elastyczny czas pracy - nie pracujemy sztywno od 8 do 16, jesteśmy elastyczni w doborze godzin (zzachowaniem core hours w środku dnia).
• Dbamy o to, żebyśmy nie pracowali po godzinach. Bardzo szanujemy czas prywatny naszych pracowników.Nie narzucamy się podczas urlopów.
• Jak wszyscy, mamy pakiet medyczny.
• ... z oczywistych względów nie pochwalimy się natomiast piłkarzykami, stołem do ping ponga, świeżymiowocami, pizzą ani wegańskim, sojowym latte. Wierzymy, że nasi pracownicy są samodzielni i sami są w staniesobie zapewnić to, co lubią ;). (oczywiście poza integracjami - wtedy pizzy wegańskiego leczonie brakuje!).

Czego wymagamy

• Doświadczenia - wymagamy komercyjnego doświadczenia, niekoniecznie w świecie security, docenimy pracęz infrastrukturą sieciową, programowaniem, cloudem, devopsowaniem lub innymi obszarami IT!
• Samodyscypliny - będziemy dbać o Twój rozwój techniczny, jednak musisz wykazać się też sporąsamodyscypliną wynikającą ze specyfiki pracy zdalnej. Musisz potrafić priorytetyzować zadania, nie zamiataćproblemów pod dywan i wydajnie pracować, gdy nikt nad Tobą nie stoi i nie klepie po ramieniu.
• Chęci nauki i stałego rozwijania się - uważamy, że bycie pentesterem to nie tylko praca, ale w pewnymzakresie również styl życia. Musisz stale uzupełniać swoją wiedzę i pielęgnować w sobie ciekawość, która wciążmotywuje do pytania „dlaczego?”.
• Znajomości technik przełamywania bezpieczeństwa aplikacji webowych i (aplikacji mobilnych lubinfrastruktury). oraz silnej chęci rozwoju w innych obszarach bezpieczeństwa. Około 70% Twojej pracybędzie wiązało się z aplikacjami webowymi, zdarzają się jednak również inne projekty, w których będzieszmusiał poszerzyć swoją wiedzę z innych obszarów.
• Umiejętności programowania - na poziomie, który umożliwia zrozumienie kodu w popularnych językachoraz tworzenie narzędzi wspierających testy
• Znajomości systemu GNU/Linux - na poziomie, który umożliwia swobodne poruszanie się po systemie
• Potrafisz opisać podatność w języku polskim i angielskim - ważne, abyś potrafił czytelniedokumentować znalezione przez siebie podatności oraz jasno komunikować się z Klientem lub innymi członkamizespołu.

Jakie będą Twoje obowiązki

• Wykonywanie testów bezpieczeństwa:
  • głównie aplikacje webowe (ok. 70% czasu pracy)
  • ale również nauka i rozwój w obszarze sieci, aplikacji mobilnych, sprzętu… (ok. 30%)
  • opisywanie znalezionych podatności
• Udział w tajnych operacjach - czasem chcemy zdjąć dresy, włożyć strój ninja i wykonać misjęspecjalną. Wrzucić pendrive przez płot, pojeździć po mieście autem z czarnymi szybami, przejść potrójną ścianęognia czy znaleźć 0-day w rozwiązaniach, których używa Klient!
• Przeważająca część Twojego czasu pracy będzie skupiona na szukaniu podatności - nie tracimy czasu naspotkania, które równie dobrze mogłyby być mailem czy rzeźbiąc dokumenty w edytorze tekstów. Nasi pracownicycenią sobie stosunek pracy technicznejdo całej reszty.

Widełki płacowe i poziomy rozwoju

Podane kwoty oznaczają miesięczne wynagrodzenie brutto na umowie opracę. Widełki częściowo się nakładają: poziom i wynagrodzenie zależąnie tylko od kompetencji technicznych, ale też od samodzielności,zakresu odpowiedzialności i wpływu na zespół.

W przypadku kandydatów prowadzących działalność gospodarczą możliwyjest również odrębny model współpracy na podstawie umowy o świadczenieusług (B2B).

Czego oczekujemyniezależnie od poziomu

Niezależnie od poziomu ważne są dla nas samodzielność,odpowiedzialność i ciekawość tego, jak rzeczy działają. Cenimy otwartąkomunikację, umiejętność pracy z innymi i szczerość, także wtedy, gdycoś pójdzie nie tak. Doceniamy osoby, które angażują się w swoją pracę,wyciągają wnioski z feedbacku i błędów oraz chcą się rozwijać.

Na tym poziomie:

• realizujesz projekty pod opieką bardziej doświadczonych osób,
• samodzielnie wykonujesz podstawowe testy aplikacji Web, a pod opiekąbardziej doświadczonych osób zdobywasz doświadczenie w API,infrastrukturze i innych obszarach,
• aktywnie rozwijasz swoją wiedzę, samodzielnie szukasz rozwiązań ipotrafisz wyciągać wnioski z feedbacku oraz popełnionych błędów,
• potrafisz pracować z Linuksem, narzędziami pentesterskimi i prostymiskryptami,
• tworzysz czytelne opisy podatności i dbasz o terminową realizacjęzadań,
• uczysz się prowadzenia projektów oraz komunikacji z Klientem.

Szukamy osoby z dobrymi podstawami technicznymi i dużym potencjałemdo szybkiego rozwoju.

Na tym poziomie:

• samodzielnie prowadzisz standardowe projekty pentestowe,
• odpowiadasz za kontakt z Klientem, organizację testów i terminowąrealizację,
• masz biegłość w Web/API oraz rozwijasz się w co najmniej jednymdodatkowym obszarze testów bezpieczeństwa takie jak infrastruktura,mobile, Cloud lub analiza kodu. Dobrze rozumiesz technologie i klasypodatności występujące w tym obszarze.
• automatyzujesz powtarzalne zadania i rozwijasz własnenarzędzia,
• wspierasz rozwój bazy wiedzy i dzielisz się doświadczeniem zzespołem.

Szukamy osoby, która potrafi wziąć odpowiedzialność za projekt odkick-offu do przekazania raportu.

Na tym poziomie:

• prowadzisz złożone projekty i rozwiązujesz niestandardowe problemytechniczne,
• samodzielnie zarządzasz komunikacją, zakresem i ryzykiemprojektowym,
• masz mocne kompetencje w co najmniej dwóch obszarach testówbezpieczeństwa i potrafisz szybko wejść w nowe technologie oraznietypowe środowiska; rozwijasz także dodatkowe specjalizacje, takie jakCloud, analiza kodu, mobile, Red Teaming czy IoT,
• bierzesz odpowiedzialność nie tylko za techniczną stronę projektu,ale też za to, żeby całość sprawnie dowieźć,
• doradzasz Klientom i pomagasz rozwijać się mniej doświadczonymosobom w zespole,
• tworzysz narzędzia, standardy i materiały wykorzystywane przezzespół.

Szukamy osoby z szerokim doświadczeniem, która łączy wysokiekompetencje techniczne z odpowiedzialnością projektową.

Na tym poziomie:

• jesteś osobą, do której zespół przychodzi z najtrudniejszymiproblemami technicznymi,
• masz ekspercki poziom wiedzy w co najmniej jednym obszarzebezpieczeństwa i bardzo mocne kompetencje w kilku innych,
• prowadzisz najbardziej wymagające projekty i kluczową komunikację zKlientami,
• potrafisz podejmować trudne decyzje techniczne i projektowe, takżewtedy, gdy nie ma jednej oczywistej odpowiedzi,
• działasz szerzej niż w ramach pojedynczych projektów, wspieraszrozwój innych osób i pomagasz zespołowi rozwiązywać problemy, z którymiwcześniej się nie mierzył,
• rozwijasz nasze metodyki, narzędzia, standardy i procesy,
• prowadzisz działania R&D i masz realny wpływ na to, jakie usługirozwijamy i jak technicznie działa firma.

Szukamy osoby, która nie tylko świetnie radzi sobie technicznie, aleteż sprawia, że cały zespół działa lepiej.

Jak wygląda nasz proces rekrutacyjny

• Zadanie wstępne - ok. 20–45 minut. Jeżeli sprawi Ci trudność,  to raczej jeszcze nie jest czasnadalszą aplikację! Ale kibicujemy w rozwoju, chętnie zobaczymy Twoje rozwiązanie i podeślemy kilka wskazówekjak się rozwinąć!
• Zadanie właściwe - ok. 2 godziny + 1–2 godziny na sfinalizowanie go
• Rozmowa - ok. 30–90 minut rozmowy i rozwiązywania zadań kanałem audio-video :)

Przy założeniu, że przejdziesz przez wszystkie etapy, całość rekrutacji powinna zająć od 3 do 6 godzin.