DevSecOps специалист, Ред Cофт
ЗП: до 300к (на руки)
Локация: Санкт-Петербург (м. Электросила)
Мы ищем специалиста по безопасности ПО с практическим опытом фаззинг-тестирования. Основная задача - настройка, запуск и развитие процессов фаззинга для поиска ошибок и потенциальных уязвимостей в программном обеспечении, а также автоматизация этих процессов и их интеграция в конвейеры безопасной разработки.
Помимо фаззинга, предстоит работать с инструментами статического и динамического анализа, анализом зависимостей и другими инструментами РБПО.
Чем предстоит заниматься
- Настройка и проведение фаззинг-тестирования системного и прикладного ПО с использованием AFL++, libFuzzer и аналогичных инструментов.
- Подготовка окружений для фаззинга: сборка проектов с инструментированием, настройка компиляторов, санитайзеров и параметров запуска.
- Анализ исходного кода и архитектуры приложений для выбора целей фаззинга, определения точек входа и подготовки harness-обёрток для тестируемых компонентов.
- Настройка сбора и анализа покрытия кода, оценка эффективности фаззинга и оптимизация его производительности.
- Интеграция фаззинг-тестирования в CI/CD-конвейеры, разработка скриптов и переиспользуемых компонентов для автоматизации запусков и обработки результатов.
- Проведение статического и динамического анализа кода с использованием SAST/DAST-инструментов, валидация результатов и отсеивание ложных срабатываний.
- Анализ сторонних зависимостей с помощью SCA-инструментов и поиск секретов в исходном коде.
- Участие в развитии процессов безопасной разработки (SSDLC) и сопровождении технических требований ГОСТ Р 56939-2024.
Обязательные требования
- Уверенное владение Linux, командной строкой и инструментами диагностики и отладки.
- Практический опыт настройки и запуска фаззеров, например AFL++ или libFuzzer.
- Понимание принципов coverage-guided fuzzing, механизмов мутации входных данных и влияния покрытия кода на эффективность фаззинга.
- Опыт сборки проектов с инструментированием, работы с компиляторами и санитайзерами, например AddressSanitizer и UndefinedBehaviorSanitizer.
- Навыки программирования или автоматизации на Python и/или Bash.
- Опыт работы с CI/CD-системами (Jenkins, GitLab CI, GitHub Actions или аналогичными) и автоматизации тестирования.
- Понимание принципов статического анализа кода и умение проверять результаты автоматизированных инструментов.
Будет плюсом
- Опыт построения инфраструктуры для параллельного или распределённого фаззинга, управления несколькими агентами и сбора результатов.
- Опыт работы с afl-cov, gcov, llvm-cov или аналогичными инструментами анализа покрытия кода.
- Опыт фаззинга системных библиотек, сетевых сервисов, парсеров, протоколов или компонентов баз данных.
- Опыт работы с SAST-инструментами: Svace, Semgrep, CodeQL, SonarQube, Bandit и другими.
- Опыт работы с DAST-инструментами, Valgrind и санитайзерами.
- Опыт использования Trivy, Dependency-Track, Gitleaks, TruffleHog и аналогичных инструментов.
Этапы подбора:
- Созвон с рекрутером (10мин)
- Техническое онлайн интервью (1 час)
- Короткое тестовое задание (2 часа максимум)
- Встреча/знакомство с командой в офисе
Оффер
Контакты:контакт рекрутера
