Специалист по тестированию на проникновение и анализу уязвимостей

Компания АО НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, как обязательной, так и в рамках добровольной системы сертификации (СДС).

Основные направления Центра оценки соответствия и тестирования:

• Проведение внешнего и внутреннего тестирования на проникновение, анализа защищённости информационных систем, анализ кода и проверка безопасности ПО.
• Сертификация по требованиям ФСТЭК России.
• Оценка соответствия по требованиям ОУД в рамках проверки банковских приложений (требования ГОСТ ИСО/МЭК 15408, Профиля защиты ЦБ, положения Банка России).
• Проведение тематических исследований по требованиям ФСБ России.
• Проведение оценки по требованиям стандарта платформы Цифрового Рубля.
• Принятие участия в разработке стандартов в области защиты информации (в рамках в рабочей группы ТК-362).
• Внедрение процессов безопасной разработки по требованиям ГОСТ Р 56939-2024.

Обязанности:

• Проведение тестирования на проникновение и анализ защищённости программных продуктов: веб-приложений, десктопных и мобильных приложений, серверного и системного ПО. Проведение тестирования инфраструктуры, в которой функционирует продукт (внешние и внутренние системы).
• Проведение композиционного анализа ПО, выявление заимствованных (сторонних) компонентов и их зависимостей (SBOM), поиск известных уязвимостей в компонентах и оценка связанных рисков.
• Поиск секретов (учётных данных, ключей, токенов, паролей) в исходном коде и дистрибутивах ПО.
• Идентификация уязвимостей и оценка рисков для информационной безопасности.
• Разработка и выполнение сценариев атак для имитации действий злоумышленников, эксплуатация уязвимостей.
• Проведение тестирования на проникновение в инфраструктуру организации по моделям Purple Team, Red Team и по принципам Black/Gray/White Box Testing.
• Выявление угроз безопасности информации, в том числе со стороны легитимных пользователей.
• Документирование результатов тестирования: подготовка отчётов о проведённых тестированиях и анализе, оформление паспортов уязвимостей, повторная верификация устранения найденных уязвимостей для оценки эффективности внесённых исправлений.

Наши ожидания:

• Высшее/неоконченное техническое образование.
• Знание действующих нормативных требований в сфере защиты информации (24-ФЗ, 149-ФЗ, 152-ФЗ, 187-ФЗ и пр.).
• Опыт работы с системами защиты информации: SIEM, EDR/XDR, IDS/IPS, NGFW, WAF.
• Понимание сетевых технологий (TCP/IP, VLAN, NAT, VPN), знание модели OSI, принципов IP-маршрутизации, принципов работы прикладных протоколов (DNS, HTTP и пр.).
• Знание принципов виртуализации, контейнеризации и сервисов, составляющих инфраструктуру приложений (веб-сервера, СУБД и пр.).
• Понимание актуальных векторов атак и уязвимостей, а также наличие навыков выявления и эксплуатации уязвимостей OWASP Top 10.
• Опыт проведения тестирований на проникновение и (или) работы с результатами таких тестов.
• Опыт работы с инструментами тестирования на проникновение, сканерами безопасности.
• Умение писать эксплойты или PoC под известные уязвимости.
• Понимание принципов композиционного анализа и рисков, связанных с использованием сторонних компонентов, а также практик поиска секретов в коде и артефактах сборки.
• Хорошие аналитические навыки и опыт документирования результатов тестирования.

Будет плюсом:

• Знание английского языка на уровне понимания зарубежных стандартов.
• Наличие сертификатов в области информационной безопасности (CEH, OSCP, CISSP и др.)
• Опыт работы с инструментами композиционного анализа (OWASP Dependency-Check, Dependency-Track) и поиска секретов (gitleaks, TruffleHog).
• Опыт статического анализа кода (SAST).
• Опыт взаимодействия с командой SOC.
• Опыт анализа защищенности Windows.
• Опыт анализа защищенности мобильных приложений.
• Опыт работы администратором Linux или администратором сетевого оборудования.
• Желание в развитии методологии и стандартов тестирования на проникновение и анализа защищенности.

Мы предлагаем:

• Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом.
• Участие в интересных проектах и задачах, связанных с информационной безопасностью.
• Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста.
• Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой).
• Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00).
• Официальное трудоустройство в соответствии с ТК РФ.
• Оплату мобильной связи.
• Оплату обучающих курсов для сотрудников.
• Обеспечение материально-технической базой (корпоративная техника - компьютеры, ноутбуки, мобильные устройства и пр.).
• Частичную компенсацию ДМС и абонемента в фитнес-клуб.
• Корпоративная пенсионная программа (дополнительные перечисления взносов работодателем в НПФ).
• Возможность внутреннего обучения, повышения квалификации в учебном центре компании.
• Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик.