Специалист по безопасной разработке

Код Безопасности; United States; Hybrid; USD 90,000 - 150,000; Full time

Benefits offered by this job

ДМС (стоматология)

Гибридный формат работы

Комфортные офисы

Job summary

Код Безопасности ищет квалифицированного специалиста по безопасному анализу кода и разработку патчей. В должности требуется глубокие знания C/C++, опыт в SAST/SCA и работе с SBOM. Ваша задача — выявлять уязвимости, готовить исправления и координировать процесс совместной работы с upstream-разработчиками.

Гибридный формат работы с офисами в крупных городах. Возможны дистанционные задачи и участие в контрибьюциях в открытые проекты.

Qualifications

• Глубокое знание C/C++ и понимание распространённых уязвимостей (буферные переполнения, use-after-free, race conditions).
• Опыт работы со SAST и SCA инструментами, умение различать ложные тревоги и истинные уязвимости.
• Навыки подготовки и тестирования патчей, бэкаппатчинга в стабильные ветки.
• Опыт работы с SBOM (SPDX, CycloneDX) и автоматизацией процессов (Python, Bash, CI/CD).
• Понимание Linux-систем, сборок через CMake/Make, работа с пакетными менеджерами.
• Участие в open-source проектах или патчинге ядра/библиотек.

Responsibilities

• Проводить статический анализ C/C++ кода с использованием инструментов SAST и SCA, размечать ложные срабатывания, выявлять критические уязвимости и CVE.
• Разрабатывать, тестировать и подготавливать патчи для устранения уязвимостей.
• Взаимодействовать с upstream-разработчиками: подавать баг-репорты, сопровождать исправления, обсуждать CVE и релизы.
• Проводить разметку результатов анализа, агрегировать данные об уязвимостях и интерпретировать их.
• Координировать спринты, приоритеты и отчётность по результатам работы.

Skills

C/C++

Умение анализировать уязвимости

SAST/SCA анализ

Python

Linux

Tools

SVACE

codechecker

SonarQube

Semgrep

Bandit

njsscan

SBOM (SPDX/CycloneDX)

Jenkins

GitLab CI

CMake/Make

Job description

Описание:

Описания нет

Задачи:

• Проводить статический анализ C/C++ кода с использованием инструментов (SVACE, codechecker, SonarQube, АК-ВС-3, semgrep, bandit, njsscan и др.) — разметка ложных срабатываний, идентификация критических уязвимостей, включая CVE-уязвимости
• Разрабатывать, тестировать и подготавливать патчи безопасности для устранения выявленных уязвимостей
• Взаимодействовать с upstream-разработчиками: подавать баг-репорты, сопровождать исправления, участвовать в обсуждении CVE и релизных процессах
• Проведение разметки результатов статического и композиционного анализа, предоставленной участниками консорциума LVC
• Агрегация, анализ и интерпретацию данных о выявленных уязвимостях
• Координацию рабочих процессов, включая планирование спринтов, приоритизацию целей и отчётность по результатам
• Бэкпортирование исправлений в стабильные и поддерживаемые ветки ПО, обеспечивая совместимость

Требования:

• Глубокое знание C/C++, понимание типичных уязвимостей (переполнения буфера, use-after-free, race conditions, инъекции и др.)
• Опыт работы с инструментами статического анализа (SAST) и композиционного анализа (SCA)
• Навыки анализа и разметки результатов SAST/SCA — умение отличать истинные уязвимости от ложных срабатываний
• Опыт подготовки и тестирования патчей, бэкпортирования исправлений в стабильные ветки
• Будет плюсом: Знание стандартов безопасной разработки (ГОСТ 56939-2024, ГОСТ Р 71207-2024);
• Опыт работы с SBOM (SPDX, CycloneDX);
• Опыт автоматизации процессов (Python, Bash, CI/CD — Jenkins, GitLab CI);
• Понимание Linux-систем, сборки с помощью CMake/Make, работа с пакетными менеджерами;
• Участие в open-source проектах или патчинге ядра/библиотек

Условия:

• Трудоустройство в аккредитованную ИТ компанию с полным соблюдением ТК РФ
• Гибкий график работы 5/2 с плавающим началом рабочего дня (с 9 до 11 часов)
• Гибридный, либо удаленный формат работы (офисы в г. Москва, Санкт-Петербург или Пенза)
• ДМС (со стоматологией) после 3 месяцев работы в компании
• Доплата больничных до полной суммы ежемесячного дохода (до 21 дня в год)
• Игровые комнаты, тренажерный зал, душевые, корпоративная футбольная команда, квизы, комнаты отдыха в офисе
• Возможности для профессионального развития: внутренние и внешние конференции, обучения и тренинги, собственная библиотека