Пентестер корпоративных систем

Мы ищем пентестера, который копает глубже сканера, способен довести цепочку эксплуатации до доказуемого результата и помогает компании закрыть дыры до того, как ими воспользуется злоумышленник. Если Burp — рабочий стол, а лучший результат для тебя — не отчет, а боевой PoC — ты наш человек.

• плановое и внеплановое тестирование на проникновение всех видов корпоративных систем
• ручной и автоматизированный анализ защищенности
• сценарии атак с опорой на актуальные угрозы, MITRE ATT&CK, OWASP — с учётом нашей архитектуры и типовых ролей/доступов
• участие во внутренних Red Team / Purple Team активностях совместно с SOC
• оформление результатов своей работы для внутренних команд: описание, шаги, риск, рекомендации
• работа с привычным стеком offensive утилит и разработка собственных, написание PoC

• высшее техническое образование
• опыт от 3 лет в ИБ, с заметной долей в области практической безопасности
• знание типовых классов уязвимостей (XSS, SQLi, IDOR, SSRF, RCE, auth/logic flaws и т.д.) - и умение с ними работать
• умение работать с типовым набором offensive утилит, понимание принципов проведения сетевой разведки, эксплуатации и постэксплуатации
• уверенные знания Linux/Windows (Active Directory), сетей и web-технологий
• английский - средний и выше (advisories, write-up’ы, документация)
• Bash/Python (или аналог) для автоматизации своей работы
• дисциплина в работе: ронять прод во время пентеста - это плохо (но бывает), умение работать с чувствительными данными
• коммуникабельность и умение взаимодействовать с коллегами из других подразделений по результатам твоей работы
• Будет плюсом: уже работал в пентест / Red Team командах; опыт работы в финтехе; Bug Bounty / Standoff и т.п. - как реальное подтверждение навыков; OSCP, OSWE, OSEP и аналоги; публичные материалы или исследования в области offensive security; опыт работы в крупной внутренней среде: много сервисов, облака, Linux-кластера, Active Directory и т.д

• Условий в вакансии нет