Эксперт по безопасности приложений Application Security

ЧЕМ ПРЕДСТОИТ ЗАНИМАТЬСЯ:

• Проведение анализа защищенности веб-приложений и мобильных приложений
• Работа с инструментами SAST/DAST/SCA: анализ результатов сканирования, донастройка политик и профилей под стек компании
• Написание и развитие кастомных правил для SAST-инструментов (Semgrep, CodeQL)
• Верификация обнаруженных уязвимостей, приоритизация по уровню риска, системное снижение доли ложных срабатываний
• Подготовка технических отчетов по результатам анализа защищенности
• Консультирование команд разработки по устранению уязвимостей и практикам безопасной разработки
• Участие в развитии методологии анализа защищенности и процессов безопасной разработки (SSDLC)

НАШИ ПОЖЕЛАНИЯ К КАНДИДАТУ:

• Глубокое знание основных классов уязвимостей: причины возникновения, условия и способы эксплуатации, подходы к устранению

• Уверенный опыт работы с AppSec-инструментами (SAST, DAST, SCA) и методологиями тестирования (OWASP Testing Guide, OWASP ASVS/MASVS)

• Опыт написания правил для SAST-инструментов (Semgrep, CodeQL)

• Умение читать и анализировать код на нескольких языках из списка: Java, Kotlin, JavaScript/TypeScript, PHP, Python, Go

• Способность самостоятельно разбирать проблемные участки исходного кода, подтверждать или опровергать результаты SAST-инструментов и выстраивать работу по снижению ложных срабатываний

• Опыт подготовки отчетов по выявленным уязвимостям (описание, шаги воспроизведения, оценка влияния, рекомендации по устранению)

• Умение аргументированно доносить риски до команд разработки и договариваться о приоритетах устранения

БУДЕТ ПРЕИМУЩЕСТВОМ:

• Опыт анализа защищенности мобильных приложений (Android/iOS): декомпиляция, динамический анализ (Frida, objection)
• Опыт участия в CTF, Bug Bounty
• Наличие зарегистрированных уязвимостей (CVE, БДУ ФСТЭК)
• Профильные сертификации (OSWE, OSCP, BSCP или аналогичные)
• Опыт встраивания AppSec-инструментов в CI/CD-пайплайны