Security engineer в Поиск

Ищем опытного security-инженера в сердце Яндекса — Поиск. Вы будете решать задачи, затрагивающие безопасность миллионов пользователей и десятков продуктов. Если вы любите искать нетривиальные уязвимости в коде, общаться с командами, разбираться в новых технологиях и делать процесс разработки безопаснее — приходите, мы вас ждём!

Какие задачи вас ждут

Обеспечение безопасности сервиса
Вам предстоит выявлять уязвимости в исходном коде, API, мобильных и веб-приложениях, участвовать в архитектурных дизайн-ревью в части ИБ, самостоятельно проводить внутренние аудиты продуктов и сопровождать внешние. Нужно будет внедрять и использовать DevSecOps-инструменты (SAST, DAST, SCA и другие), автоматизировать задачи по безопасности.

Консультирование команд по вопросам ИБ
Вы будете консультировать другие команды Яндекса по вопросам безопасности, согласовывать критичные изменения в коде, инфраструктуре сервисов. Необходимо взаимодействовать с командой разработки для совместного разбора выявленных уязвимостей и дальнейшего их устранения — например, рассказывать, как правильно организовать хранение критичных данных, интегрировать новый сервис или устранить уязвимость.

Участие в проектах отдела безопасности
Вместе с коллегами вам предстоит участвовать в разработках и инициативах, которые улучшают безопасность всего Яндекса.

Мы ждем, что вы

• Проводили анализ защищённости веб-приложений
• Умеете искать баги в исходном коде, подтверждать уязвимости, демонстрировать POC
• Можете правильно определить корневую причину уязвимости, предложить защитные меры
• Владеете одним из языков программирования (Go, Python, С++ или другим), можете читать код на нескольких языках
• Знаете основы Linux (биты, IPC, сокеты, файлы)

Будет плюсом, если вы

• Занимались обеспечением безопасности Docker, Kubernetes или Linux
• Выстраивали безопасную разработку, внедряли SAST/DAST в цикл CI/CD
• Участвовали в Bug Bounty, разборе, запуске программы
• Умеете общаться с командами разработки, выступали в роли консультанта по безопасности
• Имеете собственные CVE, наработки и достижения в области безопасности веб- и мобильных приложений (допустимо смещение знаний в сторону offense с готовностью постигать defence)

О команде

Читайте о команде безопасности Яндекса на нашем сайте