Инженер по безопасности

Триажировать, проверять и приоритизировать результаты сканирования безопасности из инструментов SAST, SCA и Secret scanning, фильтровать ложные срабатывания, оценивать риски и отслеживать проблемы до их устранения;

Проводить ручные и инструментальные обзоры кода для выявления уязвимостей безопасности, логических ошибок и небезопасных решений в реализации до того, как код попадет в продакшн;

Выполнять практические тесты на проникновение веб-приложений, микросервисов и API для обнаружения уязвимостей безопасности и ошибок бизнес-логики; 

Аудитировать REST и GraphQL API и веб-приложения с особым вниманием к основным рискам безопасности приложений, аутентификации, авторизации и бизнес-логике.

2-4 года опыта в области безопасности приложений, безопасности продуктов или тестирования на проникновение; 

Практический опыт триажа и анализа результатов Semgrep / OpenGrep, Gitleaks, Trivy и OSV-Scanner;

Опыт работы с Burp Suite (Pro), Nuclei, Subfinder, SQLmap, Metasploit и NetExec; 

Глубокое понимание классических уязвимостей OWASP Top 10, включая инъекции (SQLi, Command Injection), Server-Side Request Forgery (SSRF), Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), нарушения контроля доступа / небезопасные прямые ссылки на объекты (IDOR / BOLA), неправильные настройки безопасности, криптографические ошибки, небезопасную десериализацию и массовое присвоение;

Твердые знания OWASP API Security Top 10 для архитектур REST и GraphQL; 

Глубокое понимание протоколов идентификации и механизмов контроля доступа (OAuth 2.0, OIDC, JWT, SAML, RBAC/ABAC);

Умение выявлять сложные обходы авторизации, ошибки управления сессиями и баги бизнес-логики;

Умение читать и анализировать современный код приложений для выявления уязвимостей (будет плюсом); 

Понимание принципов безопасности облачных сред AWS и основ безопасности Kubernetes (K8s) (будет плюсом);

Средний уровень английского языка (устный и письменный).

Сильные коммуникативные навыки для эффективного взаимодействия с командами инженеров, продуктов и DevOps;

Ориентированность на результат;

Готовность к обучению.

GROWE TOGETHER: Наша команда — наш главный актив. Мы работаем вместе и поддерживаем друг друга для достижения общих целей;

DRIVE RESULT OVER PROCESS: Мы ставим амбициозные, четкие, измеримые цели в соответствии с нашей стратегией и движем Growe к успеху;

BE READY FOR CHANGE: Мы рассматриваем вызовы как возможности для роста и развития. Мы адаптируемся сегодня, чтобы побеждать завтра.