Обязанности:
Мы ищем опытного Penetration Tester для проведения наступательного тестирования безопасности наших финтех-сервисов и бизнес-приложений. В этой роли вы будете отвечать за выявление уязвимостей в инфраструктуре, веб и мобильных приложениях, а также в бизнес-логике платежных и финансовых процессов до того, как их найдут злоумышленники. Помимо технической работы, вы будете развивать зрелые процессы offensive-тестирования внутри компании. Ваша работа критически важна для защиты данных и средств клиентов, а также для обеспечения надежности и соответствия наших сервисов требованиям регуляторов. Мы ищем не «сканер уязвимостей», а вовлеченного специалиста, который проактивно ищет слабые места, доводит находки до устранения и помогает выстраивать культуру безопасности в командах. Основные задачи: Проведение внешнего и внутреннего тестирования на проникновение инфраструктуры (сетевой периметр, Active Directory, сегментация, повышение привилегий, латеральное перемещение). Тестирование на проникновение веб-приложений и API финтех-сервисов (аутентификация, авторизация, бизнес-логика, обработка платежей и финансовых операций). Тестирование на проникновение мобильных приложений (Android и iOS): анализ клиента, хранение данных, защита каналов связи, обход root/jailbreak детекта, перехват и модификация трафика. Анализ безопасности бизнес-логики финансовых процессов: платежи, переводы, выставление счетов, лимиты, антифрод-механизмы, интеграции с внешними платежными провайдерами. Подготовка качественной технической документации: отчеты по результатам тестирований с воспроизведением, оценкой рисков (CVSS) и практическими рекомендациями по устранению. Ведение и развитие организационной документации: методологии тестирования, чек-листы, регламенты проведения работ. Построение и улучшение процессов offensive security: планирование тестирований, приоритизация, трекинг устранения уязвимостей и проведение retest. Взаимодействие с командами разработки, DevOps и инфраструктуры для корректного воспроизведения, валидации и устранения найденных уязвимостей. Участие в моделировании угроз и оценке атакующих сценариев для новых функций сервисов и платформ. Проактивное предложение улучшений в области безопасности и участие в развитии внутренней expertise команды. Ожидания от кандидата: Опыт работы в области тестирования на проникновение не менее 4-5 лет. Практический опыт проведения пентестов инфраструктуры: сетевая разведка, эксплуатация сервисов, атаки на Active Directory (Kerberoasting, AS-REP, делегирование, NTLM relay), сетевые атаки(MITM, poisoning, replay), повышение привилегий и латеральное перемещение. Уверенный опыт пентеста веб приложений и API: OWASP Top 10, OWASP API Security Top 10, эксплуатация XSS, SSRF, IDOR, injection уязвимостей, ошибок аутентификации и авторизации, уязвимостей бизнес-логики. Опыт тестирования мобильных приложений по методологии OWASP MASVS / MASTG (анализ Android и iOS, инструментирование, обход защитных механизмов). Понимание угроз, специфичных для финтех- и платежных сервисов (мошенничество, манипуляции с транзакциями, обход лимитов и антифрода). Владение основным инструментарием: Nmap, Burp Suite, ffuf, Nuclei, Metasploit, Impacket, BloodHound, Responder, mitmproxy, Frida, Objection, MobSF. Знание методологий и фреймворков: PTES, OWASP WSTG/MASTG, MITRE ATT&CK, понимание этапов kill chain. Навыки скриптинга для автоматизации задач и написания PoC (Python, Bash, PowerShell). Способность читать и анализировать код для поиска уязвимостей на различных языках программирования. Понимание основ криптографии, механизмов авторизации и аутентификации (TLS/SSL, PKI, OAuth2, JWT, SAML 2.0, OpenID Connect). Опыт работы с контейнерами (docker, podman) и понимание основ их безопасности. Умение четко и структурированно излагать технические находки в письменном виде. Умение работать в команде, вовлеченность в результат и инициативность — готовность не ограничиваться формальным скоупом, а доводить находки до реального устранения. Владение техническим английским языком. Что будет плюсом: Опыт работы в финтех-компаниях, банках или платежных сервисах. Понимание регуляторных требований и стандартов финансовой отрасли (PCI DSS, ISO 27001, требования локальных регуляторов). Опыт проведения Red Team операций и работы с C2-фреймворками (Cobalt Strike, Sliver, Mythic, Havoc). Опыт пентеста облачных сред (AWS, GCP, Azure) и Kubernetes. Опыт обхода EDR/AV и техник evasion. Опыт reverse engineering и анализа бинарных файлов. Опыт участия в Bug Bounty программах (как со стороны исследователя, так и со стороны организатора). Опыт проведения внутренних тренингов и обучения команд по offensive security. Наличие профильных сертификатов: OSCP, OSEP, OSWE, OSWA, OSED, eMAPT, eCPPT, CRTO, GPEN/GXPN, BSCP. Опыт построения процессов тестирования на проникновение.Похожие вакансии