Penetration tester in web applications and APIs

Aston — аккредитованная аутсорсинговая IT-компания, работающая с 2007 года. Наш штат насчитывает 2500+ специалистов. Мы разрабатываем программное обеспечение и IT-решения в сферах Finance, Healthcare, eCommerce, IoT, Media, Big Data, ML и многом другом. Предлагаем присоединиться в роли Penetration Tester!

• опыт работы в роли Penetration Tester от 4-х лет
• знание основных типов уязвимостей и методов их эксплуатации
• знание классификации уязвимостей по NIST, БДУ
• глубокое понимание OWASP Top 10 (Web, API, Mobile, LLM и др.)
• умение выстроить процесс тестирования по фазам (PTES)
• опыт penetration testing web-приложений и API (Burp Suite Professional, ZAP)
• опыт статического и динамического анализа Android-приложений (APKTool, Jadx, Android Studio)
• опыт получения root/jailbreak на мобильных устройствах
• опыт работы с системами анализа сетевого трафика (Wireshark, tcpdump)
• опыт работы с Metasploit Framework
• опыт работы со сканерами уязвимостей (Acunetix, MaxPatrol, Security Vision, и тд)
• опыт работы в реверс-инжиниринг (IDA Pro / Ghidra / Binary Ninja)
• опыт работы с Binary exploitation: (buffer overflow, ROP, use-after-free, heap exploitation)
• опыт анализа драйверов (Windows Kernel debugging - WinDbg, Linux kernel)
• опыт анализа firmware (Binwalk, Firmadyne, Ghidra, анализ вложенных файловых систем)
• знания в криптографии (алгоритмы, common mistakes, side-channel attacks)
• опыт анализа сторонних библиотек (Dependency-Check, Snyk, Mend, Black Duck)
• понимание Threat Modeling (STRIDE, PASTA)
• умение объяснять сложные технические вещи разработчикам и руководителям
• опыт подготовки информативных отчетов для технической и executive-аудитории
• знание английского языка на уровне Upper-Intermediate и выше (чтение документации, CVE, отчётов)
• Будет плюсом: знание Kubernetes security, Docker security, cloud security (Yandex/VK/Mail); опыт эксплуатации и защиты Active Directory, Windows/Linux hardening; опыт работы с Python/Bash, PowerShell; опыт разработки эксплойтов; знание современных C2-фреймворков и Red-team техник; опыт участия в CTF/Red Team; опыт участия в программах поиска уязвимостей (bug bounty); наличие сертификатов: OSCP, OSWE/OSEP/OSED, eJPT/eWPT/CREST, CISSP/CISM

• возможность прокачать экспертизу в быстроразвивающейся и насыщенной области
• возможность быть частью изменений, улучшений, запусков новых направлений
• уровень обсуждается индивидуально, есть доплаты за менторство и профактивности
• долгосрочные проекты от российских заказчиков, возможность менять направления, прозрачная система Performance Review
• релокейт между офисами, выбор формата работы (удалённо, офис, гибрид), адаптация для новых сотрудников
• доступ к корпоративному порталу, митапам, конференциям (и как гость, и как спикер)
• ДМС со стоматологией, частичная компенсация спорта, бесплатный английский, оплачиваемый отпуск и больничные
• тимбилдинги, детские праздники, внутренние мероприятия