Должность: Старший специалист по безопасности приложений
Компания: Xsolla
Местоположение: Баку / офис
О ВАС
Мы ищем старшего специалиста по безопасности приложений, который присоединится к растущей команде безопасности в Xsolla. Это практическая роль, где вы будете полностью отвечать за инициативы в области безопасности — выявлять, оценивать и управлять устранением уязвимостей безопасности в наших продуктах и инфраструктуре.
Вы будете руководить повседневной работой по безопасности приложений — глубокий анализ кода, оценка уязвимостей, моделирование угроз и тестирование безопасности — и устанавливать стандарты для выполнения этой работы. Вы будете строги, прагматичны и способны сбалансировать риски безопасности с скоростью развития бизнеса на платформе платежей, работающей в масштабе.
Вы также будете наставничать младших специалистов и помогать повышать уровень безопасности в инженерных командах.
О НАС
Xsolla — глобальная коммерческая компания с надежными инструментами и услугами, помогающими разработчикам решать неотъемлемые проблемы индустрии видеоигр. От инди до AAA компании сотрудничают с Xsolla, чтобы они могли финансировать, распространять, продвигать и монетизировать свои игры. Основываясь на вере в будущее видеоигр, Xsolla твердо придерживается миссии объединять возможности и постоянно предоставлять новые ресурсы создателям. Со штаб-квартирой и регистрацией в Лос-Анджелесе, Калифорния, Xsolla действует как поставщик платежных услуг и помогла более чем 1500 разработчикам игр охватить больше игроков и развивать свой бизнес по всему миру. Имея больше путей к прибыли и способов победить, разработчики имеют все необходимое, чтобы наслаждаться игрой.
Для получения дополнительной информации посетите xsolla.com.
Обязанности
- Управление уязвимостями — руководство процессом обработки отчетов о найденных уязвимостях и результатах сканирования. Установка стандартов серьезности, разработка политики эскалации и обеспечение соблюдения SLA по устранению уязвимостей во всех командах.
- Руководство оценками безопасности — планирование и проведение углубленных оценок безопасности и тестов на проникновение веб-приложений, API и сервисов. Определение области и методологии оценки.
- Моделирование угроз — проведение сессий моделирования угроз с инженерными командами. Определение границ доверия, потоков данных и поверхностей атаки на ранних стадиях проектирования и внедрение этой практики в SDLC.
- Стратегия инструментария AppSec — выбор, эксплуатация и настройка инструментария SAST, DAST, SCA и сканирования секретов. Разработка рабочих процессов уменьшения ложных срабатываний и автоматической сортировки; интеграция защитных механизмов в CI/CD.
- Руководство обзором безопасного кода — проведение обзоров кода с фокусом на безопасность в кодовых базах PHP, Python и Go. Определение руководств по безопасному кодированию и чек-листов для инженерных команд.
- Наставничество и обучение — обучение младших специалистов по безопасности, проведение внутренних тренингов по безопасности и продвижение осведомленности о безопасности среди разработчиков.
- Написание четкой документации по безопасности — документирование выводов, шагов воспроизведения и рекомендаций по устранению в форме, понятной инженерным командам. Установка стандарта документации для команды.
Что вы принесете
- Опыт работы в области безопасности приложений или смежной роли инженера по безопасности более 4 лет, с демонстрацией владения программами AppSec или крупными инициативами.
- Глубокие знания в области веб-безопасности — экспертный уровень понимания классов уязвимостей (OWASP Top 10 и не только: SSRF, десериализация, request smuggling, уязвимости OAuth/OIDC, злоупотребление бизнес-логикой). Вы понимаете первопричины, цепочки эксплуатации и реальное воздействие на производственные системы.
- Опыт атакующего тестирования — обширный практический опыт работы с Burp Suite и методологиями ручного тестирования. Вы можете находить уязвимости, которые пропускают сканеры, и объединять низкоуровневые проблемы в значимые последствия.
- Владение кодом — уверенное чтение и аудит кода как минимум на одном из языков: PHP, Python, Go, JavaScript. Способность отслеживать потоки данных между сервисами и выявлять уязвимые паттерны без доступа во время выполнения.
- Опыт работы с Secure SDLC — практический опыт внедрения безопасности в рабочие процессы разработки: требования безопасности, обзор дизайна, защитные механизмы CI/CD и обучение разработчиков.
- Коммуникация рисков — вы можете рассчитать и обосновать реальную серьезность, противостоять завышенным оценкам и объяснять риски как инженерам, так и руководству на их языке.
- Аналитическое мышление — вы методично подходите к решению проблем и можете объяснить не только что такое уязвимость, но и почему она существует, как она эксплуатируется и что на самом деле требуется для ее устранения.
- Ответственность и доведение до конца — вы добиваетесь устранения проблем, пересекая границы команд, без необходимости напоминаний.
Приятные бонусы
- Опыт участия в программах Bug Bounty (принятые отчеты на основных платформах) или заметные результаты CTF;
- Сильные навыки автоматизации — Python или Go для создания внутренних инструментов безопасности;
- Опыт обеспечения безопасности облачных сред — предпочтительно GCP; безопасность Kubernetes — плюс;
- Продвинутые сертификации — OSWE, OSCP, BSCP или GWAPT;
- Опыт работы в сфере платежей, финтеха или других регулируемых средах (знакомство с PCI DSS);
- Упоминания в CVE, публичные исследования безопасности или выступления на конференциях.
Xsolla работает в разных часовых поясах. Сильные навыки письменного общения имеют решающее значение — вам нужно будет четко документировать свою работу, чтобы выводы и контекст не терялись при передаче. Мы ценим прямоту, интеллектуальную честность и настойчивость. Если вы чего-то не знаете, скажите об этом и узнайте. Если вы что-то нашли, объясните это ясно и доведите до конца.
