Senior Automation Engineer (Security Analysis Engines)

Мы разрабатываем продукты для статического, динамического и композиционного анализа кода (SAST/DAST/SCA). Наши "ядра" - это сложные эвристические и taint-движки, качество которых измеряется не только количеством найденных уязвимостей, но и точностью их обнаружения, объемом базы знаний, уровнем ложноположительных срабатываний и скоростью работы на реальных проектах.

Мы ищем инженера, который не просто пишет тесты "на кнопки", а умеет строить бенчмарки для оценки качества анализа, проводить конкурентный анализ, и автоматизировать всё это в пайплайнах. Идеальный кандидат - "человек-оркестр" с аналитическим складом ума, который знает, как устроены уязвимости, их жизненный цикл, как их искать (SAST/DAST/SCA) и как измерить эффективность инструмента, который их ищет.

Чем предстоит заниматься:

• Проектирование и разработка бенчмарков для оценки эффективности SAST и SCA (на основе OWASP Benchmark, реальных репозиториев, синтетических кейсов).
• Тестирование базы знаний (rules, сигнатуры, CVE-фиды): проверка на полноту, актуальность и отсутствие регрессий.
• SCA-фокус: проверка корректности определения зависимостей (включая транзитивные), reachability-анализа, сопоставления с CVE/NVD, обработки лицензий и SBOM.
• Конкурентный анализ: сравнение выдачи нашего движка с Snyk, Semgrep, Checkmarx, Veracode и др. на одинаковых входных данных.
• Автоматизация пайплайнов тестирования (CI/CD) и анализ метрик (False Positive Rate, False Negative Rate, время анализа, потребление ресурсов).
• Воспроизведение и документирование сложных багов (edge cases: обфускация, специфичные фреймворки, монорепозитории).
• Поддержка и развитие тестового фреймворка и существующей тестовой инфраструктуры (Python, GitLab CI).

Наши ожидания:

• Опыт в AppSec/DevSecOps/Pentest или разработке/тестировании инструментов безопасности.
• Понимание различий SAST/SCA/DAST и принципов работы taint-анализа.
• SCA-экспертиза: понимание того, как работает разрешение зависимостей (lock-файлы, транзитивные деревья), и почему reachability-анализ критичен для приоритизации.
• Сильный Python (или Go/Java с последующим переходом на Python) для написания инструментов автоматизации и парсинга.
• Опыт работы с CI/CD (GitHub Actions, GitLab CI, TeamCity).
• Аналитическое мышление: умение не просто найти баг, а понять, почему движок ошибся (проблема в правиле, в парсере или в самой базе знаний).

Будет плюсом:

• Опыт написания кастомных правил для Semgrep/CodeQL.
• Понимание форматов SBOM (CycloneDX, SPDX).
• Знание OWASP Top 10 и типовых уязвимостей на уровне эксплуатации.

Что мы предлагаем

• Условия для постоянного развития: внешние и внутренние образовательные программы, митапы, научпоп-лекции, экспертное обучение, обучение для руководителей и не только
• Гибкий подход к отдыху: 28 календарных дней отпуска, доплату отпускных до полного оклада и 10 day off в год
• Заботу о здоровье: ДМС с первой недели работы, включая стоматологию, ежегодный чекап
• Компенсацию до 50% расходов на занятия спортом и английским языком в рамках ежегодного бюджета
• Работу в аккредитованной ИТ-компании и возможность использования льгот Министерства цифрового развития