Должность: Инженер по безопасности приложений | Middle-Senior | iOS
Компания: Nord Security
Местоположение: Польша / Удаленно
Вознаграждение: 17,2 тыс. – 30 тыс. злотых в месяц
В NORD SECURITY МЫ СОЗДАЕМ БОЛЕЕ БЕЗОПАСНОЕ БУДУЩЕЕ В ЦИФРОВОМ ПРОСТРАНСТВЕ.
Мы помогаем людям и бизнесу вернуть контроль над своей онлайн-безопасностью, конфиденциальностью и данными. От VPN до менеджеров паролей, от анализа угроз до eSIM для путешествий — наши команды превращают сложные проблемы в решения, которым доверяют миллионы людей по всему миру.
Жизнь онлайн. На этой должности вы поможете людям управлять ею.
ОСНОВНЫЕ ОБЯЗАННОСТИ
- Проведение обзоров безопасности проектных решений приложений, исходного кода и сторонних библиотек/SDK;
- Регулярная оценка уязвимостей приложений с использованием как автоматизированных инструментов, так и методов ручного тестирования (например, SAST, DAST, SCA, тестирование на проникновение);
- Комплексная оценка безопасности приложений iOS, охватывающая статический и динамический анализ, отладку во время выполнения.
- Взаимодействие с командами разработчиков для проектирования безопасных архитектур и внедрения средств контроля безопасности;
- Помощь в поддержке инструментов безопасности, скриптов и процессов для обеспечения безопасной разработки;
- Быть в курсе отраслевых тенденций, уязвимостей нулевого дня, изменений безопасности платформы в новых выпусках iOS и лучших практик в области безопасности приложений;
- Разработка скриптов, инструментов автоматизации безопасности и отладочных средств для улучшения процессов тестирования безопасности мобильных приложений;
- Разработка и проведение тренингов по осведомленности и внедрению инженерных практик безопасности;
- Активный поиск внутренних уязвимостей в наших продуктах.
- Обеспечение достаточного тестирования мобильных приложений и поддержка внутренних и внешних аудитов, включая оценки, соответствующие MASVS.
ОСНОВНЫЕ ТРЕБОВАНИЯ
- Подтвержденный опыт в планировании, тестировании, методологиях и отчетности об уязвимостях при оценке безопасности мобильных приложений, с упором на iOS;
- Глубокое понимание практик безопасного кодирования;
- Способность проводить ручной аудит безопасности кода;
- Владение как минимум одним мобильным/нативным языком программирования (Swift, Objective-C) и уверенное чтение C/C++ при работе с зависимостями;
- Практическое знание OWASP MASVS и MASTG, а также способность планировать и выполнять оценки в соответствии с ними;
- Твердое понимание модели безопасности iOS: песочница, права доступа, подписание кода, Keychain, классы Data Protection, App Transport Security, IPC и межприложениевое взаимодействие (схемы URL, универсальные ссылки, расширения приложений, группы приложений);
- Практический опыт использования инструментов динамической отладки и тестирования мобильных приложений, таких как Frida, Objection, MobSF, Burp Suite, mitmproxy, а также утилит для инспекции бинарных файлов типа class-dump/otool;
- Опыт обхода клиентских средств контроля, таких как проверка сертификата, обнаружение джейлбрейка и защита от несанкционированного доступа, а также оценка их устойчивости;
- Глубокое понимание сетевых протоколов, таких как TCP, UDP и протокола HTTP, включая TLS и перехват трафика на мобильных устройствах;
- Понимание небезопасного хранения данных, утечек конфиденциальных данных (логи, резервные копии, снимки, буфер обмена, кэши) и криптографического злоупотребления в мобильных приложениях;
- Умение работать с сетевыми инструментами, такими как Wireshark, tcpdump;
- Знакомство с инструментами обратной разработки и отладки iOS (например, Ghidra, IDA, Hopper, LLDB);
- Способность быстро осваивать новые технологии и инструменты;
- Чувство ответственности, сильные навыки решения проблем и расследования;
- Умение строить и поддерживать отношения, влиять на ключевых заинтересованных сторон в бизнесе;
- Бонусные баллы за вклад в сообщество, такой как публичные CVE, признание в bug bounty программах, инструменты с открытым исходным кодом, блоги и т. д.
Желательно
- Знакомство с безопасностью приложений Android для кросс-платформенного охвата;
- Знакомство с инструментами фаззинга и техниками фаззинга.
ЧТО МЫ ПРЕДЛАГАЕМ
- Развивайте свои навыки: обучение, наставничество и возможности для роста — всегда.
- Берите столько времени, сколько нужно: дополнительные выходные, дни по болезни и время отдыха, когда этого требует жизнь.
- Получите премиальное медицинское обслуживание: частное медицинское страхование в Литве и Польше — полностью оплачивается.
- Берегите свое спокойствие: наслаждайтесь бесплатными подписками на Calm, Headspace и Mindletic, а также нашими тренингами по устойчивости и осознанности.
- Заботьтесь о своем здоровье: тренажерные залы, спортивные карты, онлайн-тренировки и персональные консультации — за наш счет.
- Собирайте чемоданы для workation: насладитесь нашей общекорпоративной поездкой за границу по полной.
- Работайте где угодно: работайте там, где вы чувствуете себя максимально продуктивно.
- Празднуйте свои важные события: дни рождения, свадьбы и появление новых членов семьи — все это заслуживает подарка.
- Родительские заботы с легкостью: детские летние лагеря и гибкий график — потому что родительство никогда не останавливается.
- Присоединяйтесь к вечеринке: тимбилдинги и корпоративные мероприятия, о которых говорят месяцами.
- Откройте для себя Cyber City: кофейня, открытые тренажерные залы, детская комната, музыкальная комната, массажные кресла — наш головной офис в Вильнюсе к вашим услугам.
Для получения полной информации о наших процедурах обработки данных в ходе рекрутинговых процессов, пожалуйста, ознакомьтесь с нашим Уведомлением о конфиденциальности для кандидатов.
Мы ожидаем, что все кандидаты предоставят точную и полную информацию в процессе найма. Хотя ограниченное использование инструментов ИИ для доработки материалов заявки допустимо, кандидаты несут полную ответственность за то, чтобы их подаваемые материалы отражали их собственную квалификацию, навыки и опыт. Любая неудача в этом может негативно сказаться на участии в процессе найма. Если более широкая помощь ИИ разрешена для конкретной роли или этапа, мы сообщим вам заранее.
Подавая заявку, вы подтверждаете, что она может обрабатываться с использованием автоматизированных инструментов для оценки. В рамках нашего процесса найма мы можем использовать инструмент ИИ для обзора заявок, чтобы помочь оценить заявки на основе навыков и опыта, соответствующих должности. Эта технология используется для поддержки, а не замены человеческого принятия решений, и каждая заявка в конечном итоге проверяется рекрутером.
Если вы хотите получить больше информации о том, как ИИ используется в этом процессе, или хотите воспользоваться своими правами в соответствии с применимыми законами о конфиденциальности данных, свяжитесь с нами по адресу контакт рекрутера. Если вы предпочитаете отказаться от автоматизированной оценки, отправьте заявку напрямую на контакт рекрутера.
