Инженер по безопасности приложений (Application Security Engineer (Middle+ / Senior))
Ищем сильного hands-on инженера, который поможет развивать Application Security, Cloud Security и DevSecOps и будет самостоятельно проводить security assessments приложений, API и облачной инфраструктуры.
Задачи
-
Проводить security review и penetration testing веб-приложений, backend-сервисов и API.
-
Проверять Authentication / Authorization, OAuth 2.0, OIDC, JWT, access control и бизнес-логику.
-
Участвовать в Threat Modeling и Security Architecture Review новых сервисов и интеграций.
-
Развивать DevSecOps: SAST, SCA, DAST, Secret Scanning, Container/Image и IaC Security Scanning.
-
Проводить Cloud Security Review: IAM, service accounts, network exposure, secrets и cloud misconfigurations.
-
Проверять Docker / Terraform / Kubernetes-конфигурации при их использовании.
-
Выполнять triage и приоритизацию vulnerabilities с учетом CVSS, EPSS, CISA KEV и business context.
-
Готовить remediation recommendations, взаимодействовать с Development/DevOps и проводить retest.
-
Участвовать в расследовании application/cloud security incidents.
-
Для Senior - мониторить менее опытных Security Engineers и выступать техническим экспертом команды.
Что важно
-
3-4+ года опыта для Middle+; 4-6+ лет - ориентир для Senior.
-
2+ года практического hands-on опыта в AppSec / Pentest / Product Security / DevSecOps / Cloud Security; для Senior желательно 3+ года глубокой профильной практики.
-
Уверенный Web/API Security Testing и практический опыт Burp Suite.
-
Понимание OWASP Top 10 / OWASP API Security Top 10.
-
Понимание HTTP/HTTPS, REST API, Authentication / Authorization, OAuth 2.0, OIDC, JWT, Session Management, RBAC/ABAC.
-
Практическое понимание CI/CD, Docker, Cloud Security, IAM и Secrets Management.
-
Опыт с SAST / DAST / SCA / Secret Scanning.
-
Способность самостоятельно разбираться в новом сервисе, определять attack surface и доводить finding до remediation/retest.
Будет плюсом
-
Практический опыт Google Cloud Platform (GCP).
-
Terraform, Kubernetes, Container Security и IaC Security.
-
Secure Code Review и один или несколько языков: Python / Go / Java / JavaScript / TypeScript.
-
OSCP, OSWE, GWAPT, eWPT/eWPTX, PNPT.
-
Google Professional Cloud Security Engineer, CCSP или другие Cloud Security certifications.
-
Bug Bounty / Responsible Disclosure, security research, CTF или GitHub-проекты.