Обязанности:
Чем предстоит заниматься: Проведение пентестов веб-приложений (включая нестандартную бизнес-логику и client-side атаки) и сетевой инфраструктуры, а также анализ защищенности API (REST, GraphQL). Активный поиск и проверка 1-day эксплойтов, эксперименты с новыми векторами атак и внедрение передовых методов поиска уязвимостей в рабочие процессы отдела. Валидация результатов, фильтрация ложных срабатываний и подготовка максимально точных отчетов с четкими рекомендациями по исправлению и PoC-кодом. Участие в регулярных мероприятиях по эмуляции действий злоумышленников (Red Team), анализ актуальных киберугроз. Участие во внутренних и внешних аудитах для проверки соответствия систем стандартам информационной безопасности. Что мы хотим видеть: Уверенное знание OWASP Top 10, опыт поиска уязвимостей бизнес-логики и сложных client-side атак (XSS, CSRF, DOM-based, Clickjacking). Владение Burp Suite (включая создание собственных расширений/скриптов), опыт работы с ffuf, sqlmap, Nmap, dirsearch и другими инструментами для фаззинга и разведки. Знание HTML, JavaScript на уровне чтения и понимания кода, знакомство с основами серверных языков (PHP, Python, Node.js) для поиска уязвимостей на уровне исходников. Глубокое понимание принципов работы REST и GraphQL, опыт проверки механизмов авторизации (JWT, OAuth), поиск SSRF, IDOR, RCE, SQL-инъекций в API. Способность быстро разбираться в чужом коде и архитектуре приложений, находить неочевидные уязвимости. Умение писать четкие отчеты с практическими PoC и рекомендациями по исправлению. Что мы предлагаем: Удаленная работа. 8-ми часовой рабочий день. Гибкий рабочий график, согласованный с проектной командой. Выходные дни - суббота, воскресенье. В предпраздничные дни рабочий день сокращается на 1 час. Выходные дни во время государственных праздников (по РФ календарю). Оплачиваемый отпуск продолжительностью 28 календарных дней в год. Sick day в течение года, по согласованию с руководителем.