Инженер по безопасности приложений | Средний-Старший уровень | iOS

В Nord Security мы создаём более безопасное кибербудущее.

Мы помогаем людям и компаниям вернуть контроль над своей онлайн-безопасностью, конфиденциальностью и данными. От VPN и менеджеров паролей до разведки угроз и eSIM для путешествий — наши команды превращают сложные задачи в решения, которым доверяют миллионы по всему миру.

Жизнь — в онлайне. В этой роли вы поможете людям владеть ею.

Основные обязанности

• Проведение обзоров безопасности дизайна приложений, исходного кода и сторонних библиотек/SDK;

• Регулярное проведение оценки уязвимостей приложений с использованием как автоматизированных инструментов, так и ручных методов тестирования (например, SAST, DAST, SCA, тестирование на проникновение);

• Проведение комплексной оценки безопасности iOS-приложений, включая статический и динамический анализ, инструментирование во время выполнения;

• Сотрудничество с командами разработки для проектирования безопасных архитектур и внедрения мер безопасности;

• Поддержка инструментов безопасности, скриптов и процессов для обеспечения безопасной разработки;

• Отслеживание актуальных отраслевых тенденций, уязвимостей нулевого дня, изменений в безопасности платформы в новых версиях iOS и лучших практик в области безопасности приложений;

• Разработка скриптов, инструментов автоматизации безопасности и средств инструментирования для улучшения процессов тестирования мобильных приложений;

• Проектирование и проведение обучающих программ по повышению осведомлённости и внедрению инженерных практик безопасности;

• Активный поиск внутренних пробелов в безопасности наших продуктов;

• Обеспечение достаточного тестирования мобильных приложений и поддержка внутренних и внешних аудитов, включая оценки, соответствующие MASVS.

Основные требования

• Подтверждённый опыт планирования, тестирования, методологий и отчётности по оценке безопасности мобильных приложений с акцентом на iOS;

• Глубокое понимание практик безопасного программирования;

• Умение выполнять ручной аудит безопасности кода;

• Владение как минимум одним языком программирования для мобильных/нативных приложений (Swift, Objective-C) и комфортное чтение C/C++ в зависимостях;

• Практические знания OWASP MASVS и MASTG, а также способность планировать и проводить оценки в соответствии с ними;

• Твёрдое понимание модели безопасности iOS: песочница, права (entitlements), подпись кода, Keychain, классы защиты данных, App Transport Security, межпроцессное взаимодействие и коммуникация между приложениями (URL-схемы, универсальные ссылки, расширения приложений, группы приложений);

• Практический опыт динамического инструментирования и использования инструментов тестирования мобильных приложений, таких как Frida, Objection, MobSF, Burp Suite, mitmproxy и инспекция бинарных файлов в стиле class-dump/otool;

• Опыт обхода клиентских контролей, таких как закрепление сертификатов (certificate pinning), обнаружение jailbreak и защита от вмешательства, а также оценка их устойчивости;

• Хорошее понимание сетевых протоколов TCP, UDP и HTTP, включая TLS и перехват трафика на мобильных устройствах;

• Понимание проблем небезопасного хранения данных, утечки чувствительной информации (логи, резервные копии, снимки, буфер обмена, кэши) и неправильного использования криптографии в мобильных приложениях;

• Умение работать с сетевыми инструментами, такими как Wireshark, tcpdump;

• Знакомство с инструментами реверс-инжиниринга и отладки iOS (например, Ghidra, IDA, Hopper, LLDB);

• Способность быстро осваивать новые технологии и инструменты;

• Чувство ответственности, сильные навыки решения проблем и расследования;

• Умение строить и поддерживать отношения, влиять на ключевых заинтересованных лиц в бизнесе;

• Дополнительные баллы за вклад в сообщество, например, публичные CVE, признание в программах bug bounty, открытые инструменты, блоги и т.п.

Желательно

• Знакомство с безопасностью Android-приложений для обеспечения кроссплатформенного покрытия;

• Знакомство с инструментами и техниками фуззинга.

Что мы предлагаем

• Оттачивайте мастерство: обучение, наставничество и возможности для роста — всегда.

• Берите столько времени, сколько нужно: дополнительные дни отпуска, больничные и свободное время, когда жизнь требует.

• Получите премиальное медицинское обслуживание: частная медицинская страховка в Литве и Польше — полностью оплачивается компанией.

• Защитите своё спокойствие: бесплатные подписки на Calm, Headspace и Mindletic, а также наши собственные тренинги по устойчивости и осознанности.

• Заботьтесь о своей физической форме: тренажёрные залы в офисе, спортивные карты, онлайн-тренировки и персональное сопровождение — за наш счёт.

• Отправляйтесь в workation: полностью погрузитесь в нашу корпоративную поездку за границу.

• Работайте откуда угодно: работайте там, где вам комфортно и продуктивно.

• Отмечайте важные события: дни рождения, свадьбы и пополнения в семье — все заслуживают подарков.

• Родительствуйте с комфортом: летние лагеря для детей и гибкий график — потому что родительство не останавливается.

• Присоединяйтесь к празднику: тимбилдинги и корпоративные мероприятия, о которых говорят месяцами.

• Откройте для себя Cyber City: кофейный бар, открытые спортзалы, детская комната, музыкальная комната, массажные кресла — наш штаб-квартира в Вильнюсе к вашим услугам.

Пожалуйста, ознакомьтесь с нашим Уведомлением о конфиденциальности для кандидатов на вакансии, где подробно описаны процедуры обработки данных в процессе рекрутинга.

Мы ожидаем от всех кандидатов предоставления точной и полной информации в ходе рекрутинга. Хотя ограниченное использование инструментов ИИ для улучшения материалов заявки допустимо, кандидаты полностью несут ответственность за то, чтобы их материалы отражали их собственные квалификации, навыки и опыт. Несоблюдение этого может негативно повлиять на участие в процессе отбора. Если для конкретной роли или этапа допускается более широкое использование ИИ, мы сообщим об этом заранее.

Отправляя заявку, вы соглашаетесь с тем, что она может обрабатываться с использованием автоматизированных инструментов для оценки. В рамках нашего процесса рекрутинга мы можем использовать инструмент на базе ИИ для помощи в оценке заявок на основе навыков и опыта, релевантных роли. Эта технология поддерживает — но не заменяет — человеческое принятие решений, и каждая заявка в конечном итоге рассматривается рекрутером.

Если вы хотите получить дополнительную информацию о том, как используется ИИ в этом процессе, или воспользоваться своими правами в соответствии с применимыми законами о защите данных, пожалуйста, свяжитесь с нами по адресу privacy@nordaccount.com. Если вы предпочитаете отказаться от автоматизированной оценки, пожалуйста, отправьте заявку напрямую на career@nordsec.com.