AppSec-инженер (социальные платформы)

    <p>В роли специалиста по безопасности приложений в объединённой команде безопасности социальных сетей у тебя будет возможность внести значительный вклад в безопасность пользователей одних из самых популярных сайтов в России — ВКонтакте и Одноклассники, а также их различных сервисов-сателлитов.</p><p>В силу сравнительно большого уровня уникальности и кастомизации технологического стека команда безопасности решает сложные и порой нетривиальные задачи на всех этапах разработки.</p><p>Мы занимаемся ревью безопасности архитектуры и кода, проводим анализ защищённости релизов, разрабатываем и интегрируем различные инструменты для автоматизации своих задач, плотно взаимодействуем с техническими и продуктовыми командами.</p><p>Мы за постоянное развитие — поэтому активно делимся опытом и знаниями, проходим различные курсы, играем в CTF, выступаем на конференциях и так далее. Кроме профессионального роста, мы стремимся создать среду, где каждый член нашей команды чувствует себя ценным и вовлечённым. У нас развита культура взаимопомощи и поддержки, где успехи отмечаются и делаются общими.</p>



    <h3>Задачи</h3>
    <ul><li>Поддержка и развитие процессов безопасной разработки</li><li>Проведение аудитов безопасности и ревью продуктовых сервисов и приложений</li><li>Разработка продуктовых требований по безопасности</li><li>Автоматизация рутинных задач и разработка инструментов</li><li>Разбор отчётов в программах Bug Bounty</li><li>Помощь разработчикам в выборе безопасных решений и написании безопасного кода</li></ul>



    <h3>Требования</h3>
    <ul><li>Опыт работы в области Application Security и (или) DevSecOps от двух лет</li><li>Понимание причин возникновения и способов устранения/митигации распространённых уязвимостей (OWASP Top 10, OWASP Mobile Top 10, CWE Top 25)</li><li>Понимание современного цикла разработки, процессов, практик и инструментов для обеспечения безопасности приложений</li><li>Опыт анализа защищённости веб- и мобильных приложений</li><li>Навыки работы и выстраивания процессов с распространёнными классами инструментов DevSecOps (SAST, SCA, DAST и тому подобное)</li><li>Владение одним из языков программирования: Go, PHP, Java, JS, Python</li></ul>



    <h3>Будет плюсом</h3>
    <ul><li>Навыки моделирования угроз и оценки рисков с использованием распространённых методологий (STRIDE, DREAD и тому подобное)</li><li>Знание и опыт имплементации подхода Secure By Design/Default</li><li>Знание основ операционных систем, современных облачных технологий и систем контейнеризации, методов обеспечения безопасности (Docker, Kubernetes, AWS и так далее)</li><li>Опыт участия в Bug Bounty и CTF, наличие собственных CVE</li><li>Наличие профильных сертификатов (OSCP, OSWE, CDP и тому подобное)</li><li>Опыт выступления на профильных конференциях и (или) написания статей</li><li>Опыт разработки и внедрения собственных прикладных инструментов</li><li>Хорошее понимание особенностей клиент-серверного взаимодействия, обработки запросов, аутентификации, авторизации и управления сессиями</li></ul>