Aston — аккредитованная аутсорсинговая IT-компания, работающая с 2007 года. Наш штат насчитывает 2500+ специалистов. Мы разрабатываем программное обеспечение и IT-решения в сферах Finance, Healthcare, eCommerce, IoT, Media, Big Data, ML и многом другом.
Предлагаем присоединиться в роли Специалиста по информационной безопасности!
Заказчик - международный производитель высококачественной стальной продукции с вертикально-интегрированной моделью бизнеса.
Почему это будет интересно?
- возможность прокачать экспертизу в быстроразвивающейся и насыщенной области;
- возможность быть частью изменений, улучшений, запусков новых направлений.
Чем предстоит заниматься:
- обеспечивать комплексную оценку уровня защищённости всех типов программного обеспечения и сервисов Компании путём выявления уязвимостей, ошибок конфигурации и архитектурных недостатков безопасности на всех этапах жизненного цикла ПО;
- выявлять клиентские уязвимости (XSS, CSRF, Clickjacking, DOM-based уязвимости, insecure direct object references и т. д.)(HTML, JavaScript, TypeScript, фреймворки React / Vue / Angular и др.);
- анализировать хранение чувствительных данных в браузере, работу с JWT / OAuth, CSP, CORS;
- тестировать серверные уязвимости (SQLi, SSRF, RCE, IDOR, Broken Access Control, Mass Assignment и т. д.);
- проводить полноценное тестирование авторизации, rate limiting, input validation, business logic flaws;
- тестировать веб-приложения на CMS Bitrix24;
- проводить поведенческий анализ приложений (реестр, файловая система, память);
- заниматься реверс-инжинирингом, искать уязвимости в бинарных файлах;
- выявлять небезопасную обработку данных;
- выявлять повышение привилегий;
- проводить статический и динамический анализ (APK reverse, Frida, MobSF, insecure storage, certificate pinning bypass, deep links, WebView и т. д.);
- анализировать firmware активного сетевого оборудования, IoT, BIOS / UEFI;
- искать backdoor'ы, hardcoded credentials, криптографические ошибки, устаревшие компоненты;
- проводить анализ сторонних библиотек (SCA — Software Composition Analysis), искать известные уязвимости (CVE), выявлять supply chain attacks;
- проводить аудит конфигурационных файлов веб-серверов (Nginx, Apache, IIS), СУБД (PostgreSQL, MySQL, Oracle, MSSQL), очередей, кэшей, Kubernetes и т. д;
- проверять на мисконфигурации, открытые порты, слабые разрешения, небезопасные секреты;
- проводить оценку безопасности SaaS-сервисов, внешних API, облачных окружений (Yandex, VK, Mail Cloud), интеграций с третьими сторонами.
Чего мы ждем от специалиста?
- опыт работы в роли Специалиста по информационной безопасности от 3-х лет;
- знание основных типов уязвимостей и методов их эксплуатации: классификация уязвимостей по NIST, БДУ;
- глубокое понимание OWASP Top 10 (Web, API, Mobile, LLM и др.);
- опыт скриптинга: Python / Bash;
- умение выстроить процесс тестирования по фазам (PTES);
- опыт процесса симуляции кибератаки веб-приложений и API (Burp Suite Professional, ZAP);
- опыт статического и динамического анализа Android-приложений (APKTool, Jadx, Android Studio);
- опыт и умение получать root/jailbreak на мобильных устройствах;
- опыт работы с системами анализа сетевого трафика (Wireshark, tcpdump);
- опыт работы с Metasploit Framework;
- опыт работы со сканерами уязвимостей (Acunetix, MaxPatrol, Security Vision, и тд);
- опыт проведения реверс-инжиниринга (IDA Pro / Ghidra / Binary Ninja);
- опыт в Binary exploitation: (buffer overflow, ROP, use-after-free, heap exploitation);
- опыт анализа драйверов (Windows Kernel debugging — WinDbg, Linux kernel);
- опыт анализа firmware (Binwalk, Firmadyne, Ghidra, анализ вложенных файловых систем);
- знания в криптографии (алгоритмы, common mistakes, side-channel attacks);
- опыт анализа сторонних библиотек (Dependency-Check, Snyk, Mend, Black Duck);
- понимание Threat Modeling (STRIDE, PASTA);
- владение английским языком на уровне Upper-Intermediate и выше.
Будет плюсом:
- знание Kubernetes security, Docker security, cloud security (Yandex/VK/Mail);
- опыт эксплуатации и защиты Active Directory, Windows/Linux hardening;
- опыт скриптинга: PowerShell;
- опыт разработки эксплойтов;
- знание современных C2-фреймворков и Red-team техник;
- опыт участия в CTF / Red Team;
- опыт участия в программах поиска уязвимостей (bug bounty);
- наличие сертификатов: OSCP, OSWE / OSEP / OSED, eJPT / eWPT / CREST, CISSP / CISM.
Что мы предлагаем?
- Хорошая зарплата: уровень обсуждается индивидуально, есть доплаты за менторство и профактивности.
- Развитие: долгосрочные проекты от российских заказчиков, возможность менять направления, прозрачная система Performance Review.
- Комфорт и свобода: релокейт между офисами, выбор формата работы (удалённо, офис, гибрид), адаптация для новых сотрудников.
- Обучение: доступ к корпоративному порталу, митапам, конференциям (и как гость, и как спикер).
- Социальный пакет: ДМС со стоматологией, частичная компенсация спорта, бесплатный английский, оплачиваемый отпуск и больничные.
- Корпоративная жизнь: тимбилдинги, детские праздники, внутренние мероприятия.
Наши офисы:
- Москва (БЦ “Башня Империя”, 50 этаж),
- Санкт-Петербург (Владимирский проспект, д. 23, 8 этаж),
- Казань (Н. Ершова, 76/1),
- Ростов-на-Дону (Текучева, 246),
- Самара (IT парк Монте Роза).
Откликайтесь, если вы готовы расти и развиваться вместе с командой ASTON! Наш рекрутер свяжется с вами, чтобы обсудить детали.
