Инженер безопасности гибридной инфраструктуры

Пользователи сервисов Яндекса есть по всему миру. Чтобы поддерживать работу сервисов, мы создаём глобальную распределённую инфраструктуру: строим дата‑центры, развёртываем десятки точек присутствия и облака в разных уголках планеты. При этом уровень доверия и требования к безопасности у разных элементов инфраструктуры отличаются.

Нам нужен опытный инженер, который смотрит на инфраструктуру как на продукт. Мы ищем специалиста, которому интересно изучать её работу и повышать уровень безопасности. Подойдёт тот, кто уже занимался защитой инфраструктуры, понимает, какими способами её могут взломать, и готов при необходимости решать задачи в сфере AppSec.

Какие задачи вас ждут

Аудит безопасной архитектуры
Вы будете вместе с командами инфраструктуры и сетевых инженеров решать, работают ли существующие подходы, нужно ли их менять или предлагать новые решения. Также вам предстоит проверять, насколько реализация соответствует архитектуре, искать уязвимости в коде и логике сервисов, которые чаще всего написаны на Golang, Python, C/C++ или Java. Среди задач — создать модель доверия между компонентами распределённой инфраструктуры, проанализировать, как реализовано полнодисковое шифрование (FDE) на внешних площадках, разработать workload identity для сервисов и инфраструктурных компонентов, спроектировать доверенную загрузку и безопасную «наливку» удалённых серверов, а также вместе с SOC создать контроли, которые помогут обнаружить компрометацию точек присутствия и предотвратить дальнейшее продвижение в инфраструктуру.

Консультирование по безопасности
Вы будете помогать командам, которые развивают внешние площадки, принимать решения по безопасности и доводить их до внедрения. При этом нужно учитывать разные ограничения и искать компромиссы. Например, вам предстоит разбираться, нужно ли шифровать канал и какой способ выбрать (MACsec, IPsec или TLS приложений), изучать требования информационной безопасности к физической безопасности площадки, оценивать безопасность разных вариантов доступа к инфраструктуре и решать, можно ли разместить сервис А на площадке Б.

Разработка инструментов
Вы будете внедрять существующие инструменты в рабочие процессы команд, чтобы повышать безопасность. Также вам предстоит создавать новые инструменты — например, автоматизации для SAST/DAST, решения для улучшения работы Департамента информационной безопасности, передовые разработки в области workload identity или цепочки доверенной загрузки удалённых машин. Ваши решения повлияют на архитектуру и безопасность всей инфраструктуры и сервисов Яндекса.

Мы ждем, что вы

• Работали над проектированием и внедрением механизмов инфраструктурной безопасности
• Понимаете механизмы безопасности Linux, Kubernetes и контейнеров
• Разбираетесь в безопасности современных распределённых приложений и знаете принципы их построения и работы
• Хотите и умеете автоматизировать работу с помощью Golang или Python
• Понимаете принципы работы PKI и её применение в инфраструктурной безопасности

Будет плюсом, если вы

• Работали с BMC, IPMI, MaaS
• Понимаете, как устроена сеть, какие протоколы в ней используются и что может пойти не так (вас не пугают аббревиатуры BGP/VPN)

О команде

Подробнее об инфраструктуре и её сервисах — на https://infra.yandex.ru/.