Название: Старший специалист по тестированию на проникновение Компания: IGAMINGHUNT Местоположение: Удаленно / Сербия / Польша

Мы ищем Старшего специалиста по тестированию на проникновение для усиления безопасности высоконагруженных продуктов путем выявления уязвимостей в приложениях, инфраструктуре, облачных средах и платежных потоках. На этой должности вы будете тесно сотрудничать с командами инженеров, продакт-менеджеров, специалистов по борьбе с мошенничеством и соответствию требованиям для улучшения уровня безопасности посредством проведения атакующих тестов и практического устранения уязвимостей.

Обязанности:

• Планирование и проведение мероприятий по тестированию на проникновение в веб-приложениях, API, мобильных приложениях, внутренней и внешней инфраструктуре, а также в облачных средах AWS.
• Проведение атакующих проверок безопасности, включая сценарии Red Team и Assume-Breach, охватывающие повышение привилегий, боковое перемещение, обеспечение персистентности и эксфильтрацию данных.
• Оценка безопасности облачных сервисов (cloud-native), сред Kubernetes, микросервисов и конвейеров CI/CD.
• Выявление уязвимостей, затрагивающих платежные системы, кошельки, процессы KYC/AML, бонусные механизмы, партнерские трекеры и другие критически важные для бизнеса рабочие процессы.
• Взаимодействие с командами Product, Engineering, AppSec, Payments и Fraud для приоритизации обнаруженных проблем и поддержки усилий по их устранению.
• Разработка пользовательских скриптов и внутренних инструментов для улучшения возможностей тестирования, когда стандартные решения недостаточны.
• Участие в мероприятиях по моделированию угроз (threat modeling) и поддержка инициатив по безопасному проектированию (secure-by-design).
• Анализ планов и отчетов о тестировании на проникновение, предоставление технического руководства младшим и средним специалистам по безопасности.
• Исследование новых уязвимостей, техник MITRE ATT&CK, рекомендаций по безопасности и их перевод в конкретные улучшения.
• Поддержка оценки безопасности новых продуктов, релизов и запуска на рынок, включая оценку трудозатрат и предсертификационную деятельность.
• Выступление в качестве консультанта по безопасности для технических и бизнес-стейкхолдеров по вопросам атакующих тестов.

Требования:

• Опыт работы в тестировании на проникновение или атакующей безопасности от 4 лет.
• Подтвержденный практический опыт в как минимум трех из следующих областей:
  • Веб-приложения / API
  • Внутренние сети
  • Внешняя инфраструктура
  • Облачные среды (AWS/GCP)
  • Мобильные приложения (iOS/Android)
• Наличие сертификата OSCP или эквивалентного сертификата по атакующей безопасности.
• Глубокие знания SAST, SCA, DAST, AWS/GCP, MITRE ATT&CK, OWASP ASVS, OWASP WSTG и PTES.
• Хорошее понимание архитектуры приложений, включая MVC и принципы потока данных.
• Знание техник атак на цепочку поставок (supply chain attack).
• Опыт написания скриптов на Python и Bash.
• Понимание моделей IAM (Identity and Access Management) как минимум у одного крупного облачного провайдера.
• Практический опыт тестирования сред на базе Kubernetes, облачных приложений (cloud-native), конвейеров CI/CD (GitLab, GitHub Actions, Jenkins) и решений Infrastructure as Code (Terraform, Helm, CloudFormation).
• Отличные навыки составления отчетов, документирования и коммуникации.
• Способность сбалансировать приоритеты безопасности с бизнес-требованиями и сроками выпуска.
• Твердое понимание фреймворков безопасности и стандартов соответствия, включая PCI DSS, ISO 27001, NIST и GDPR.
• Уровень владения английским языком не ниже Upper-Intermediate.

Будет плюсом:

• Продвинутые сертификаты по атакующей безопасности, такие как OSWE, OSEP, OSED, CRTO, BSCP, ARTE или GRTE.
• Опыт проектирования безопасных архитектур для сред Kubernetes и AWS.
• Предыдущий опыт работы в сферах iGaming, финтех или платежных продуктов.
• Публичные исследования в области безопасности, CVE, рекомендации, технические публикации или выступления на конференциях.
• Прохождение HTB Pro Labs или значительные достижения в CTF.
• Вклад в open-source проекты в области атакующей или защитной безопасности.

Что мы предлагаем:

• Полностью удаленный формат работы.
• Конкурентная заработная плата, основанная на опыте.
• Оплачиваемый ежегодный отпуск и больничные.
• Возможности для профессионального и карьерного роста.
• Поддерживающая среда, ориентированная на постоянное развитие и долгосрочный рост.