Должность: Младший специалист по безопасности приложений Компания: Xsolla Местоположение: Баку / onsite

О ВАС Мы ищем младшего специалиста по безопасности приложений, который присоединится к растущей команде безопасности в Xsolla. Это практическая роль, в которой вы будете тесно сотрудничать с ведущими специалистами для выявления, оценки и устранения уязвимостей безопасности в наших продуктах и инфраструктуре. Вы будете вовлечены в повседневную работу AppSec — анализ кода, сортировку уязвимостей, моделирование угроз и тестирование безопасности. Вы любознательны, внимательны к деталям и стремитесь к глубокой экспертизе в области безопасности приложений. Вам не обязательно знать все ответы, но вы задаете правильные вопросы и доводите дело до конца. Это сильная среда для обучения. Вы столкнетесь с реальными проблемами безопасности на платежной платформе, работающей в большом масштабе, и получите поддержку от опытных специалистов по безопасности, которые помогут вам расти.

О НАС

Xsolla — глобальная коммерческая компания с надежными инструментами и услугами, помогающими разработчикам решать присущие видеоигровой индустрии проблемы. От инди до AAA, компании сотрудничают с Xsolla, чтобы получать финансирование, распространять, продвигать и монетизировать свои игры. Основываясь на вере в будущее видеоигр, Xsolla решительно настроена объединять возможности и постоянно предоставлять новые ресурсы создателям. Со штаб-квартирой и регистрацией в Лос-Анджелесе, Калифорния, Xsolla действует как поставщик услуг и помогла более чем 1500 разработчикам игр привлечь больше игроков и развивать свой бизнес по всему миру. Имея больше путей к прибыли и способов победить, разработчики имеют все необходимое, чтобы наслаждаться игрой. Более подробную информацию можно найти на сайте xsolla.com.

Обязанности Сортировка результатов безопасности — Оценка входящих отчетов о баг-баунти и результатов сканирования. Оценка достоверности, расчет реальной серьезности и эскалация соответствующим образом с четкими письменными резюме. Помощь в оценке уязвимостей — Участие в оценке безопасности веб-приложений и API. Помощь в выявлении и документировании рисков в новых функциях и существующих системах. Написание четкой документации по безопасности — Документирование результатов, шагов воспроизведения и рекомендаций по устранению в форме, понятной инженерным командам. Поддержка моделирования угроз — Участие в сессиях моделирования угроз. Изучение способов выявления границ доверия, потоков данных и поверхностей атаки в проектных решениях. Мониторинг инструментов безопасности — Помощь в эксплуатации инструментария SAST, DAST и сканирования зависимостей. Отслеживание результатов, снижение уровня шума и поддержка рабочих процессов устранения. Поддержка анализа кода — Анализ кода на наличие распространенных классов уязвимостей под руководством ведущих специалистов. Изучение способов выявления проблем безопасности в коде на PHP, Python и Go. Быть в курсе событий — Следить за разработками в сообществе безопасности. Информировать о новых классах уязвимостей, CVE и методах атак, актуальных для нашего стека. Что вы принесете Основы веб-безопасности — Глубокое понимание распространенных классов уязвимостей: OWASP Top 10, CSRF, XSS, IDOR, SQL-инъекции, открытые редиректы, слабости в управлении аутентификацией и сессиями. Вы понимаете первопричины, а не только названия. Основы веба и браузеров — Глубокое понимание принципов работы веб-приложений: цикл запросов/ответов HTTP, модель клиент-сервер, REST API, как браузеры обрабатывают политику одного источника, файлы cookie и их атрибуты, а также CORS. Это фундамент, на котором строится все остальное. Инструменты тестирования безопасности — Практический опыт работы с Burp Suite или аналогичными инструментами тестирования безопасности веб-приложений. Вы использовали их для перехвата, модификации и повторной отправки запросов — а не только для запуска автоматических сканирований. Документирование уязвимостей — Способность воспроизвести уязвимость и четко ее описать: шаги воспроизведения, доказательство концепции и заявление о влиянии. Результаты, которые инженерные команды не могут воспроизвести или понять, не исправляются. Осведомленность о безопасной разработке — Знакомство с базовыми концепциями безопасного кодирования: проверка ввода, кодирование вывода, параметризованные запросы и принцип наименьших привилегий. Читаемость кода — Способность читать и понимать код как минимум на одном языке, актуальном для веб-безопасности — PHP, Python, JavaScript или Go. Вам не обязательно быть разработчиком, но вы должны следовать логике и замечать паттерны, связанные с безопасностью. Аналитическое мышление — Вы методично подходите к решению проблем. Вы можете объяснить не только то, что такое уязвимость, но и почему она существует, как она эксплуатируется и что на самом деле требуется для ее исправления. Четкое письменное общение — Вы составляете точные, воспроизводимые и полезные для инженеров, которым необходимо действовать, описания уязвимостей и резюме. Любознательность и инициативность — Вы углубляетесь в проблемы, а не останавливаетесь на поверхности. Когда что-то выглядит неправильно, вы расследуете, прежде чем делать выводы. Желательно Участие в программах bug bounty или соревнованиях CTF; Базовые навыки написания скриптов для автоматизации — Python или Bash; Знакомство с пайплайнами CI/CD и местом инструментов безопасности в них; Опыт работы с облачными средами — GCP, AWS или Azure; Соответствующие курсы или сертификаты — eWPT, CEH, прогресс в PortSwigger Web Security Academy или аналогичные начальные сертификаты.

Xsolla работает в разных часовых поясах. Важно развитое письменное общение — вам потребуется четко документировать свою работу, чтобы результаты и контекст не терялись при передаче. Мы ценим прямоту, интеллектуальную честность и настойчивость. Если вы чего-то не знаете, скажите об этом и найдите информацию. Если вы что-то нашли, объясните это четко и доведите до конца.