Web3 Tech

Infrastructure Security Engineer

Russia22 hours ago

350,000 – 500,000 RUB

per month

Details

Grade

Senior

Work format

Remote

A cover letter for this job

An email or a Telegram message to the recruiter

About the role

Web3 Tech — a leading developer of blockchain-based products, creator of the "Konfident" blockchain platform, included in the registry of Russian software. We have implemented the National Remote Electronic Voting System, developed a blockchain platform for the Federal Tax Service, and created a platform for working with Digital Financial Assets (DFA) for Alfa-Bank, Tinkoff, and others.

We are now expanding our information security team and are looking for an Infrastructure Security Engineer for the company's flagship direction. We are seeking an AppSec engineer capable of identifying vulnerabilities at the code and architecture level, not just at the scanner report level. The key value of a specialist is a deep understanding of what SAST/DAST/SCA tools find, where their blind spots are, and the ability to cover these blind spots with manual work.

Responsibilities

• Building secure development processes: SSDLC, quality gates, vulnerability management. Implementing and supporting processes that ensure timely remediation of findings, not their accumulation • Design review of new services and functionality at the design stage: identifying problems at the architecture level, interaction protocols, trust boundaries • Conducting security assessments: manual audit of code and business logic, searching for business logic errors, race conditions, authorization issues, JWT vulnerabilities, cryptography errors, data storage problems on the client and server sides, MFA bypasses • Development and support of core security practices: guidelines for development in Kotlin and TypeScript, requirements for storing secrets, working with sessions • Working with the Bug Bounty program: triaging reports, defining scope, interacting with researchers • Investigating product security incidents: root cause analysis, coordinating remediation, formulating conclusions for processes • Ensuring CI/CD security: build and delivery pipelines in GitLab, secret management via Vault, supply chain control • Consulting and training developers on secure development issues

Requirements

• Confident reading and analysis of code in Kotlin, TypeScript, Node.js, React • Deep understanding of web vulnerability classes at the exploitation level, including bypasses of filters and sanitizers (path traversal, SQLi, SSRF, deserialization, XXE, prototype pollution, RCE via dependencies, etc.) • Experience in manual vulnerability searching, not detectable by automatic means: business logic errors, race conditions, broken authentication and authorization, JWT and session issues, cryptographic implementation errors, abuse of trusted boundaries • Understanding of the capabilities and limitations of SAST, DAST, SCA, IAST • Practical experience in implementing and tuning GitLab CI, DefectDojo (or analogs), SAST/DAST/SCA tools • Confident work with Linux, understanding of network protocols, experience with Git

Nice to have

• Experience in Web3 and blockchain security: smart contract auditing, wallet security, working with cryptographic keys and signatures, specifics of on-chain/off-chain interaction • Experience with CryptoPro CSP, CryptoPro CA • Contributions to open-source security projects, published CVEs, presentations at industry conferences, publications • Experience participating in Bug Bounty programs as a researcher or triager • Regular practice of threat modeling (STRIDE, attack trees) • Knowledge in the field of cryptography

Benefits

Official employment according to the Labor Code of the Russian Federation, white salary; Salary: 350,000 - 500,000 RUB Accredited IT company (deferment from military service, preferential mortgage); Flexible working hours; Remote work; Voluntary medical insurance (DMS); Partial compensation for sports activities; Possibility of compensation for professional training; Joint events and corporate parties.

Web3 Tech — ведущий разработчик продуктов на основе блокчейн-технологий, создатель блокчейн-платформы «Конфидент», включенной в реестр российского ПО. Мы реализовали Национальную систему дистанционного электронного голосования, разработали блокчейн-платформу для Федеральной налоговой службы, создали платформу для работы с Цифровыми финансовыми активами (ЦФА) для Альфа-Банка, Тинькофф и др.

Сейчас расширяем команду информационной безопасности и находимся в поиске Инженера по инфраструктурной безопасности на флагманское направление компании. Ищем AppSec инженера, способного выявлять уязвимости на уровне кода и архитектуры, а не на уровне отчётов сканеров. Ключевая ценность специалиста — глубокое понимание того, что именно находят SAST/DAST/SCA инструменты, где их слепые зоны, и умение закрывать эти зоны ручной работой.

Задачи, над которыми нужно будет работать: • Выстраивание процессов безопасной разработки: SSDLC, quality gates, vulnerability management. Внедрение и поддержка процессов, обеспечивающих своевременное устранение находок, а не их накопление • Design review новых сервисов и функциональности на этапе проектирования: выявление проблем на уровне архитектуры, протоколов взаимодействия, trust boundaries • Проведение security assessments: ручной аудит кода и бизнес-логики, поиск ошибок бизнес-логики, race conditions, проблем авторизации, уязвимостей JWT, ошибок криптографии, проблем хранения данных на клиентской и серверной стороне, обходов MFA • Разработка и поддержка core security практик: гайдлайнов для разработки на Kotlin и TypeScript, требований к хранению секретов, работе с сессиями • Работа с программой Bug Bounty: триаж репортов, определение scope, взаимодействие с исследователями • Расследование продуктовых security-инцидентов: анализ root cause, координация устранения, формирование выводов для процессов • Обеспечение безопасности CI/CD: конвейеров сборки и доставки в GitLab, управления секретами через Vault, контроля supply chain • Консультирование и обучение разработчиков по вопросам безопасной разработки

Ждем от кандидата: • Уверенное чтение и анализ кода на Kotlin, TypeScript, Node.js, React • Глубокое понимание классов веб-уязвимостей на уровне эксплуатации, включая обходы фильтров и санитайзеров (path traversal, SQLi, SSRF, десериализация, XXE, prototype pollution, RCE через зависимости и др.) • Опыт ручного поиска уязвимостей, не выявляемых автоматическими средствами: ошибки бизнес-логики, race conditions, broken authentication и authorization, проблемы JWT и сессий, ошибки криптографических реализаций, абьюз trusted boundaries • Понимание возможностей и ограничений SAST, DAST, SCA, IAST • Практический опыт внедрения и тюнинга GitLab CI, DefectDojo (или аналогов), SAST/DAST/SCA инструментов • Уверенная работа с Linux, понимание сетевых протоколов, опыт работы с Git Будет плюсом: • Опыт в области Web3 и blockchain security: аудит смарт-контрактов, безопасность кошельков, работа с криптографическими ключами и подписями, особенности on-chain/off-chain взаимодействия • Опыт работы с КриптоПро CSP, КриптоПро УЦ • Контрибьюты в open-source security-проекты, опубликованные CVE, выступления на профильных конференциях, публикации • Опыт участия в Bug Bounty программах в роли исследователя или триажера • Регулярная практика threat modeling (STRIDE, attack trees) • Знания в области криптографии

Условия: Официальное трудоустройство по ТК РФ, белую заработную плату; ЗП: 350 000 - 500 000 руб Аккредитованная ИТ-компания (отсрочка, льготная ипотека); Возможность работать в гибком графике; Удаленную работу; ДМС; Частичную компенсацию занятий спортом; Возможность компенсации профильного обучения; Совместные мероприятия и корпоративы.

Контакты: