Должность: Offensive Security Engineer Компания: ClickHouse Местоположение: EMEA

О команде

Команда безопасности отвечает за предоставление ключевых возможностей безопасности, охватывающих безопасность приложений, облаков и корпоративных систем, реагирование на инциденты, обнаружение и GRC. Наша команда ищет опытного практического специалиста по безопасности, который будет способствовать внедрению современных процессов и инструментов безопасности, уделяя особое внимание поддержке наших инженерных команд и команд разработки продуктов в улучшении уровня безопасности наших платформ и сервисов.

Что вы будете делать:

• Выявлять пробелы в безопасности и уязвимости во всех предложениях ClickHouse; анализировать широкий спектр уязвимостей, сообщаемых через нашу программу bug bounty, ответственное раскрытие информации, GitHub Issues, охватывающих веб-ресурсы, API, клиент-серверные активы, включая низкоуровневые проблемы памяти, такие как переполнение кучи или буфера.
• Улучшать и разрабатывать мероприятия по обеспечению безопасности — пентесты, оценки уязвимостей, программы bug bounty, фаззинг.
• Планировать и проводить внутренние оценки Red Team и тесты на проникновение в инфраструктуру ClickHouse, облачные среды, разрабатывая реалистичные сценарии действий противника для проверки эффективности обнаружения, реагирования и контроля.
• Оценивать специфичный для AI/LLM вектор атак на собственные AI-функции ClickHouse и внутренние AI-инструменты, включая инъекции промптов, утечку данных/моделей и небезопасные паттерны использования агентических инструментов.
• Создавать и эксплуатировать агентические инструменты для разведки, цепочек эксплойтов и обнаружения путей атаки, а также применять фаззинг с поддержкой LLM для ускорения обнаружения уязвимостей в продуктах и инфраструктуре ClickHouse.
• Сотрудничать с командой инженеров по обнаружению для проверки и улучшения охвата обнаружения во время упражнений Red Team, измеряя и сообщая об эффективности контроля и времени до обнаружения/реагирования.
• Обрабатывать события и инциденты информационной безопасности в продуктах и сервисах ClickHouse.
• Разрабатывать процессы, инструменты и автоматизацию для масштабирования процессов безопасности и снижения рисков для бизнеса.

Что вы принесете с собой:

• Более 7 лет опыта в области пентеста, Red Teaming и безопасности продуктов.
• Опыт поддержки усилий по внедрению инженерных решений и продуктов путем проведения оценок угроз, мероприятий по обеспечению безопасности, консультаций, а в некоторых случаях — работы по внедрению в распределенных системах, охватывающих веб-ресурсы, API, клиент-серверные активы.
• Практический опыт проведения мероприятий по наступательной безопасности — внутреннего Red Teaming, тестов на проникновение и моделирования действий противника — в облачных, сетевых и прикладных средах.
• Способность разрабатывать сценарии действий противника, основанные на реальной информации об угрозах (например, операторы программ-вымогателей, атакующие цепочки поставок, инсайдерские угрозы), адаптированные к профилю рисков ClickHouse как многопользовательской облачной платформы данных.
• Сильные навыки письменного и устного общения, с возможностью преобразования цепочек атак в четкие, действенные выводы для инженеров и руководства.
• Опыт создания или адаптации агентических инструментов и инструментов с поддержкой LLM для использования в наступательной безопасности (автоматизация разведки, цепочки эксплойтов, фаззинговые структуры), с оценкой того, где AI действительно ускоряет работу, а где добавляет шум.
• Знакомство со специфичными для AI/LLM классами уязвимостей и методологией тестирования.
• Глубокие знания и опыт работы с одним или несколькими поставщиками облачных услуг (например, AWS, GCP, Azure), Kubernetes, Cilium.
• Опыт внедрения и эксплуатации инженерных инструментов и процессов безопасности (например, статический/динамический анализ кода, анализ состава программного обеспечения, SBOM, OWASP SAMM, инструменты для фаззинга клиентов и сетей).
• Приверженность принципу "безопасность как код" (Security as code) с упором на решение проблем с учетом автоматизации и масштабируемости.

Дополнительные преимущества:

• BS, MS или PhD в области компьютерных наук или смежной области.
• Предыдущий вклад в проекты с открытым исходным кодом.
• Сертификаты в области безопасности или облачных технологий (AWS, GCP, Azure).
• Предыдущий опыт использования AI security harnesses для целей пентестинга.
• Опыт создания или эксплуатации инструментов и инфраструктуры Red Team с нуля, а не только reliance на готовые фреймворки.
• Сертификаты по наступательной безопасности (например, OSCP, OSCE, OSEP, OSWE).

ПРЕИМУЩЕСТВА

• Гибкая рабочая среда — ClickHouse — это глобально распределенная компания, дружелюбная к удаленной работе. В настоящее время мы работаем более чем в 25 странах.
• Медицинское страхование — взносы работодателя на ваше медицинское страхование.
• Акции компании — каждый новый сотрудник, присоединяющийся к нашей компании, получает опционы на акции.
• Отпуск — гибкое время отпуска в США, щедрое entitlement в других странах.
• USD$500 на обустройство домашнего офиса, если вы работаете удаленно.
• Global Gatherings — мы верим в силу личного общения и предлагаем возможности для взаимодействия с коллегами на общекорпоративных выроприятиях.

КУЛЬТУРА — МЫ ВСЕ ЕЕ ФОРМИРУЕМ

Будучи частью быстрорастущего стартапа, вы будете играть ключевую роль в формировании нашей культуры.

Заинтересованы узнать больше о нашей культуре? Узнайте больше о наших ценностях здесь. Читайте наши публикации в блоге или подписывайтесь на нас в LinkedIn, чтобы узнать больше о том, что происходит в ClickHouse.

РАВНЫЕ ВОЗМОЖНОСТИ И КОНФИДЕНЦИАЛЬНОСТЬ

ClickHouse предоставляет равные возможности трудоустройства всем сотрудникам и соискателям и запрещает дискриминацию и домогательства любого типа на основании таких факторов, как раса, цвет кожи, религия, возраст, пол, национальное происхождение, статус инвалидности, генетические данные, статус ветерана, сексуальная ориентация, гендерная идентичность или выражение признаков, или любая другая характеристика, защищенная федеральными, государственными или местными законами.

Пожалуйста, ознакомьтесь с нашим заявлением о конфиденциальности здесь.