Должность: Старший инженер по безопасности, Offensive Security
Местоположение: США / Канада / Удаленно
О КОМПАНИИ DOCKER
Docker — один из самых любимых брендов в сфере инструментов для разработчиков, которому доверяют более 20 миллионов ежемесячных пользователей и более 20 миллиардов скачиваний образов контейнеров. От индивидуальных основателей до крупнейших мировых компаний, разработчики полагаются на Docker для создания, обмена и запуска своих приложений в нашем наборе продуктов, включая Docker Desktop, Docker Hub и Docker Scout.
Мы — глобально распределенная, ориентированная на удаленную работу команда, создающая инструменты, которые определяют, как создается и доставляется программное обеспечение. Поскольку ИИ-агенты переопределяют разработку программного обеспечения, Docker находится в центре этого сдвига, предоставляя изолированные среды, проверенные образы и безопасную инфраструктуру, которые по умолчанию делают автономные рабочие процессы надежными.
В качестве старшего инженера по безопасности (Offensive Security) вы будете способствовать развитию наступательной безопасности в Docker, подвергая наши продукты, платформы и облачную инфраструктуру реалистичному тестированию в условиях реальных угроз, чтобы выявить и устранить векторы атак до того, как их найдут реальные злоумышленники. Вы будете сотрудничать с отделами инжиниринга, продукта и руководством, чтобы превращать результаты тестирования в долгосрочные решения и формировать подходы к обеспечению безопасности в каждом продукте Docker.
Вы будете применять свой опыт в области тестирования на проникновение, моделирования угроз и разработки эксплойтов для выявления и устранения рисков в продуктах и инфраструктуре Docker. Работая с облачной инфраструктурой (AWS, GCP, Azure), контейнерными средами и продуктами AI/ML, вы будете внедрять проактивные решения по безопасности, которые масштабируются вместе с ростом Docker.
Эта роль предлагает возможность улучшить программы безопасности в компании, продуктам которой доверяют миллионы разработчиков по всему миру. Вы будете работать в быстро меняющейся, технически сложной среде, где ваша экспертиза в области безопасности напрямую влияет как на платформу Docker, так и на более широкую экосистему контейнеров.
ОБЯЗАННОСТИ:
- Вносить вклад в инициативы по безопасности, соответствующие бизнес-целям, помогая обеспечить безопасность как основной компонент наших продуктов и инфраструктуры.
- Поддерживать и помогать во внедрении ключевых программ безопасности, таких как автоматизированные обзоры архитектуры безопасности и управление уязвимостями.
- Глубоко изучать безопасность программного обеспечения и архитектуру, выступать в качестве основного ресурса для инженерных команд.
- Сотрудничать с инженерными командами для проектирования и внедрения архитектуры безопасности и средств контроля в продуктах и платформах Docker.
- Планировать, определять объем и проводить тестирование на проникновение и учения по эмуляции действий противника (red-team engagements) против продуктов и сервисов Docker.
- Разрабатывать эксплойты, доказывающие концепцию (proof-of-concept), и представлять четкие, оцененные по риску результаты с практическими рекомендациями по устранению, а затем повторно тестировать исправления для подтверждения их закрытия.
- Разрабатывать и поддерживать инструментарий и автоматизацию для наступательной безопасности, чтобы расширить охват тестирования и повторяемость.
- Проводить обзоры безопасности и моделирование угроз (дизайн, архитектура и код) для продуктов и сервисов Docker, включая новые продукты AI, и писать автоматизированные тесты безопасности и эксплойты.
- Участвовать в ротационном графике дежурств для реагирования на инциденты безопасности, расследования угроз и координации усилий по их устранению.
- Обучать и сотрудничать с кросс-функциональными командами (например, инжиниринг, продукт) для продвижения практик безопасности.
- Участвовать в реагировании на инциденты безопасности.
КВАЛИФИКАЦИЯ
- Опыт работы инженером по безопасности более 3 лет, включая практический опыт наступательной безопасности и тестирования на проникновение приложений и инфраструктуры.
- Опыт практической разработки на Python или Golang более 2 лет.
- Глубокая экспертиза в области аутентификации, авторизации, включая такие технологии, как OAuth, криптографические приложения и принципы Zero Trust.
- Значительный практический опыт обеспечения безопасности облачных экосистем (например, AWS, GCP, Azure).
- Практический опыт тестирования на проникновение веб-приложений SaaS и API, включая ручную эксплуатацию, выходящую за рамки автоматизированных сканеров.
- Уверенное владение инструментами и методами наступательной безопасности, такими как Burp Suite и фреймворки OWASP.
- Способность писать тесты безопасности, разрабатывать эксплойты и proof-of-concepts, которые выявляют реальные уязвимости в продукте.
- Понимание рисков безопасности и методов их снижения в области AI/ML, включая инъекции запросов (prompt injection), отравление данных (data poisoning), извлечение моделей (model extraction) и атаки противника (adversarial attacks).
- Практический опыт использования LLM и инструментария на основе агентов для автоматизации обнаружения уязвимостей, разведки и рабочих процессов пентестинга.
- Подтвержденный опыт создания программ безопасности и автоматизации с нуля, применяя приоритизацию на основе рисков.
- Опыт проведения обзоров безопасности и создания или улучшения автоматизации обзоров безопасности.
- Отличные коммуникативные навыки, позволяющие четко объяснять сложные концепции безопасности техническим и нетехническим заинтересованным сторонам.
- Понимание отраслевых стандартов и активное отслеживание новых технологий и моделей безопасности.
- Умение работать в команде, способствуя изменениям в области безопасности посредством сотрудничества и кросс-функционального партнерства.
- Наличие сертификатов по наступательной безопасности, таких как OSCP, OSWE, OSEP, GXPN, GPEN или CRTO.
- Наличие опубликованных CVE, оригинальных исследований по безопасности или докладов на конференциях.
Бонусом будет:
- Опыт работы с побегом из контейнера (container escape), путями атак Kubernetes или облачным Red Teaming.
- Опыт тестирования систем AI/ML на предмет таких проблем, как инъекции запросов, извлечение моделей и отравление данных.
ЧТО ОЖИДАТЬ
ПЕРВЫЕ 30 ДНЕЙ:
- Встречи с командой по безопасности и ключевыми партнерами из отдела инжиниринга.
- Получение доступа к системам, принадлежащим команде, и внутренней документации.
- Прохождение обучения по осведомленности в вопросах безопасности и онбординга по соответствию требованиям.
- Обзор архитектуры приложений, технологического стека и потоков данных.
- Обзор реестра рисков и годового плана.
- Ознакомление с рабочими процессами и процессами команды.
- Наблюдение за работой коллеги-инженера по безопасности во время его дежурств/операций по безопасности (on-call/secops).
ПЕРВЫЕ 90 ДНЕЙ:
- Проведение обзора безопасности новых продуктов Docker.
- Определение объема и проведение первого тестирования на проникновение против продукта или сервиса Docker.
- Активное участие в обзорах архитектуры с командой.
- Вклад в проект или инициативу, принадлежащую отделу безопасности.
- Сотрудничество с разработчиками Docker для проверки и устранения выявленных уязвимостей.
- Улучшение возможностей реагирования на инциденты путем участия в дежурствах и пост-инцидентной деятельности.
- Создание и поддержка документации по безопасности и руководств (runbooks).
ПЛАН НА ПЕРВЫЙ ГОД
- Внесение вклада в дорожную карту безопасности для улучшения средств контроля безопасности.
- Укрепление архитектуры Zero Trust и механизмов наименьших привилегий.
- Улучшение мониторинга безопасности и обнаружения аномалий.
- Проведение обзоров безопасности для основных выпусков продуктов.
- Владение и проведение регулярных тестов на проникновение и учений по эмуляции действий противника для продуктов Docker, а также взаимодействие с внешними исследователями.
- Поддержка аудитов и обеспечение соответствия стандартам SOC 2, ISO 27xxx.
- Продвижение принципа «безопасность по замыслу» (security by design) во всех функциях продукта.
- Глубокое изучение продуктов Docker и новых технологий AI.
Docker не предоставляет спонсорскую поддержку виз для этой должности.
Компенсация и акции
Канада: CA$271 150 – CA$434 000 + акции
США: $194 150 – $312 950 + акции
ИНФОРМАЦИЯ О ВАКАНСИИ
- Открытая вакансия: Это объявление относится к существующей открытой должности.
- ИИ в найме: Docker может использовать инструменты с поддержкой ИИ в процессе подбора персонала.
- Записи собеседований: Кандидатам будет предложено дать согласие на запись собеседований для калибровки интервьюеров и обеспечения последовательности оценок. Записи являются необязательными и требуют явного согласия.
ПРИВИЛЕГИИ И ЛЬГОТЫ
- Удаленная работа по дизайну – Работайте из дома, с офисами в Сиэтле и Париже для общения и сотрудничества.
- Гибкость, соответствующая вашей жизни – Мы доверяем вам управлять своим графиком, выполняя отличную работу.
- Время для восстановления – Щедрое количество дней отпуска, выделенные ежеквартальные «Whaleness Days» (Дни кита) и выделенный перерыв в конце года «Whaleness break».
- Поддержка домашнего офиса – Обустройте свое рабочее место для комфорта и продуктивности.
- Стипендия на технику – эквивалент 100 долларов США чистыми в месяц для поддержки вашей работы.
- Обучение и развитие – Ежегодная стипендия на конференции, курсы, сертификации и непрерывное обучение.
- Отпуск по уходу за ребенком – 16 недель оплачиваемого отпуска по уходу за ребенком после шести месяцев работы.
- Акции для всех штатных сотрудников – Разделите долгосрочный успех Docker по мере нашего роста.
- Комплексные льготы – Медицинское страхование, пенсионные планы и оплачиваемые праздники варьируются в зависимости от страны.
- Фирменная продукция Docker – потому что представлять кита никогда не надоедает.
Docker с гордостью является работодателем, предоставляющим равные возможности. Мы стремимся создать команду, отражающую широкий спектр предысторий, опыта и точек зрения. Мы считаем, что разнообразные команды создают лучшие продукты, принимают лучшие решения и лучше обслуживают наше глобальное сообщество.
