Senior Application Security Engineer

Вознаграждение: 135 000 - 180 000 долларов США в год

Кто мы:

Sardine — ведущая платформа для управления рисками, направленная на борьбу с финансовыми преступлениями. Наше комплексное решение объединяет данные различных команд по управлению рисками, помогая организациям в режиме реального времени пресекать мошенничество, предотвращать атаки с использованием ИИ и автоматизировать операции по борьбе с мошенничеством и отмыванием денег (AML). Платформа Sardine усилена одним из самых быстрорастущих консорциумов по борьбе с мошенничеством на рынке, охватывающим более 6 миллиардов профилированных устройств, 800 миллионов потребителей и 3 миллиона предприятий по всему миру. Ведущие компании, включая FIS, GoDaddy, Intuit, Edward Jones, ZoomInfo и Checkout.com, полагаются на Sardine для обеспечения безопасности и укрепления доверия к своим продуктам.

Наша культура:

• Мы нанимаем талантливых, самомотивированных сотрудников с высоким уровнем ответственности и ориентацией на рост.

• Мы ценим результаты, а не отработанные часы. Мы считаем, что вам не придется пропускать семейный ужин, школьное представление вашего ребенка, встречу с друзьями или визит к врачу ради соблюдения произвольного рабочего графика.

• Мы — команда, работающая в первую очередь удаленно и распределенная по часовым поясам, поэтому офиса нет — работайте там, где вам удобнее всего выполнять свою работу. Просто имейте в виду пару вещей: оплата зависит от вашего местоположения, и вам нужно будет иметь основное место жительства в стране, в которой вы наняты. Так что, хотя нам нравится жизнь "сегодня в кофейне, завтра в горах", это не удаленная работа с паспортом, позволяющим работать где угодно на Земле — скорее, гибкая работа в пределах вашей страны, а не без границ.

Местоположение:

• Удаленно — США

ДОЛЖНОСТЬ

Sardine принимает решения о рисках и платежах для банков и финтех-компаний. Наши клиенты тщательно проверяют нас, и безопасность приложений является важной частью их оценки.

Деньги проходят через эту платформу, поэтому реальные злоумышленники ее изучают. Ваша работа — находить то, что нашли бы они, особенно недостатки авторизации и злоупотребления бизнес-логикой, а затем устранять целые классы ошибок.

Команда по безопасности приложений небольшая. Масштаб большой: сервисы на Go, Node.js, Python, Ruby и Java, работающие в multi-cloud и Kubernetes. Это соотношение определяет характер работы. Находки поступают от сканеров, анализа кода, тестирования, моделирования угроз, пентестеров и охотников за ошибками. Вы превращаете этот поток в конвейер, который проверяет, маршрутизирует и закрывает проблемы с минимальными ручными усилиями. Затем вы используете то, что говорит вам конвейер, для устранения первопричин: безопасные настройки по умолчанию, шаблоны, к которым инженеры обращаются в первую очередь, и надежные исправления.

Мало что здесь предопределено. Вы сами определяете, где находится риск, и идете за ним.

РАБОТА

КУДА УХОДИТ БОЛЬШАЯ ЧАСТЬ ВАШЕГО ВРЕМЕНИ

ЗАПУСК И АВТОМАТИЗАЦИЯ КОНВЕЙЕРА ПО УПРАВЛЕНИЮ УЯЗВИМОСТЯМИ

• Анализ, проверка, маршрутизация и управление устранением находок из всех источников: SAST, DAST, SCA, анализ кода, пентесты и охота за ошибками.

• Создание автоматизации, которая исключает ручные усилия на каждом из этих этапов.

• Внешние пентесты и программа охоты за ошибками: определение области действия, руководство тестировщиками, оценка серьезности и закрытие цикла.

УСТРАНЕНИЕ КЛАССОВ ОШИБОК

• Выявление закономерностей в находках и устранение первопричин, а не только конкретных случаев.

• Установление безопасных шаблонов и настроек по умолчанию, которые делают правильный путь легким.

• Написание пользовательских правил статического анализа для наших собственных антипаттернов, чтобы исправленный класс ошибок оставался исправленным.

• Анализ элементов управления на уровне платформы (авторизация, идентификация сервисов, управление секретами, принудительное применение шлюза), выявление пробелов и работа с соответствующими командами до их устранения.

• Совместная работа с инженерами над простыми, легко внедряемыми и надежными исправлениями.

ТАКЖЕ ЧАСТЬ РАБОТЫ

• Практическое тестирование наших приложений и API, а также ручной анализ кода сервисов с высоким уровнем риска, с акцентом на авторизацию и бизнес-логику.

• Моделирование угроз для новых и критически важных разработок.

• Обеспечение безопасности инженеров, включая программу Security Champions.

ЧТО МЫ ИЩЕМ

• Управление уязвимостями, автоматизированное. Опыт сквозного управления уязвимостями и его автоматизации с помощью кода через API сканеров, систем учета заявок и систем контроля версий.

• Инженерный опыт. Вы выпускали и поддерживали реальное программное обеспечение. Вы быстро читаете незнакомый код, тщательно его анализируете и расстраиваетесь по поводу архитектуры и режимов сбоев.

• Ответственность до завершения. Вы доводите проблемы до конца, включая исправления, зависящие от других команд. Вы отслеживаете исправление, которое рекомендовали три спринта назад.

• Суждение важнее стажа. Нас больше волнует глубина вашего суждения, чем годы опыта.

• Аудит кода как минимум на одном из языков Go, Python, Node.js, Ruby или Java, и готовность работать с остальными.

• Практическое знание OWASP Top 10, с глубоким пониманием проблем с нарушением контроля доступа и бизнес-логики.

• SAST, DAST и SCA в CI/CD, настроенные так, чтобы инженеры доверяли результатам. Основы облачных вычислений на GCP или AWS. Docker и Kubernetes.

• Вы отделяете реальные находки от теоретических.

• Вы открыто высказываете несогласие с доказательствами и обновляете их, когда кто-то предоставляет лучшие доказательства.

• Ваше влияние распространяется асинхронно, через часовые пояса, на людей с твердыми убеждениями и без подчиненности вам.

БОНУСЫ

• Масштабирование инструментов безопасности на множество репозиториев, языков и систем сборки.

• Предыдущий опыт написания пользовательских правил статического анализа (Semgrep, CodeQL или аналогичные).

• Опыт работы в финтех-секторе, платежных системах или других средах, подвергающихся серьезной проверке безопасности третьими сторонами (PCI DSS, SOC 2, аудиты клиентов).

• Полностью распределенный асинхронный инженерный опыт.

• Опыт работы в области offensive security в любой форме, в которой вы его нашли. Наиболее релевантны пентесты веб-приложений, API, мобильных устройств или облачных сред. Работа с аппаратным обеспечением и встраиваемыми системами, физическая безопасность и локспарт, engagements red team, работа с протоколами и радиосвязью, а также результаты CTF или bug bounty засчитываются.

• Продвинутые offensive сертификаты. OSWE и BSCP являются наиболее релевантными; CPTS, CRTO и аналогичные также засчитываются.

• Публичная работа: исследования, инструменты, раскрытие информации, выступления.

Преимущества, которые мы предлагаем:

• Щедрое вознаграждение наличными и акциями.

• Возможность досрочной реализации всех опций, включая те, которые еще не вестированы.

• Работа откуда угодно: культура, ориентированная на удаленную работу.

• Гибкий оплачиваемый отпуск и выходные в конце года.

• Медицинская страховка, стоматологическое и офтальмологическое покрытие для сотрудников и их иждивенцев — только для США и Канады.

• 4% софинансирование в 401k / RRSP — только для США и Канады.

• MacBook Pro с доставкой на дом.

• Единовременная выплата на обустройство домашнего офиса — стол, стул, монитор и т. д.

• Ежемесячная компенсация питания.

• Ежемесячная выплата на социальные мероприятия.

• Ежегодная выплата на здоровье и благополучие.

• Ежегодная выплата на обучение.

Присоединяйтесь к быстрорастущей компании с профессионалами мирового уровня со всего мира. Если вы ищете значимую карьеру, вы нашли правильное место, и мы будем рады услышать вас.

Чтобы узнать больше о том, как мы обрабатываем вашу личную информацию и о ваших правах в отношении вашей личной информации в качестве соискателя и сотрудника Sardine, пожалуйста, посетите наше Уведомление о конфиденциальности для соискателей и работников.