AppSec Engineer

Навыки

• API (интеграции)
• Самостоятельность
• Burp Suite
• CI/CD
• Code review
• Docker
• gRPC

О компании и продукте

• TechCore – это команда профессионалов с многолетним опытом в разработке программного обеспечения. Мы помогаем клиентам на всех этапах создания цифровых решений, от концептуализации и дизайна до внедрения и поддержки. За нашими плечами сотни реализованных проектов, поэтому мы не понаслышке знаем, какие трудности встречаются в процессе разработки, и умеем находить эффективные решения для любых задач.

Требования

• Опыт практической работы в области AppSec не менее 3 лет, включая самостоятельное проведение аудитов безопасности веб-приложений, API и мобильных приложений
• Глубокое знание актуальных векторов атак: OWASP Top 10, OWASP API Security Top 10, CWE, SANS Top
• Способность не только называть, но и объяснять механику эксплуатации и методы защиты
• Практический опыт работы с инструментами SAST (Semgrep, Checkmarx, SonarQube или аналоги) и DAST (Burp Suite Professional, OWASP ZAP, Nuclei). Опыт написания кастомных правил или шаблонов — обязателен
• Опыт работы в процессах Secure SDLC: участие в threat modeling, security review архитектуры, ревью кода с точки зрения безопасности
• Умение читать и анализировать код на одном или нескольких языках из стека: Java, Python, Go, Kotlin, JavaScript/TypeScript. Знание характерных для каждого языка паттернов уязвимостей
• Понимание архитектуры микросервисов, REST/gRPC API, контейнеризации (Docker, Kubernetes) и CI/CD-пайплайнов с точки зрения безопасности
• Опыт работы с ASOC-платформами или системами управления уязвимостями (AppSec.Hub, Шерлок, DefectDojo или аналоги)
• Способность самостоятельно писать техническую документацию на русском языке: отчёты по аудитам, threat model, security notes, описания уязвимостей
• Умение писать правила для WAF на основе анализа уязвимостей и имеющих актуальных угроз

Будет плюсом

• Наличие сертификации по направлению информационной безопасности: CEH, OSCP, CREST Certified Tester (CT), CREST Web Application Penetration Testing Certification (CRT) или аналогичных практических сертификатов в области AppSec / пентестинга
• Опыт построения или участия в AppSec-программе: Security Champions, Security Requirements, интеграция безопасности в SDLC
• Ну что, ты с нами?
• Ждем тебя в нашей команде!

Паспорт вакансии

История публикации

Откуда что взялось

Отмечено то, что вывели мы. Без пометки — значение назвал работодатель.

Почему на этом месте в выдаче

Порядок выдачи объявлен контрактом: свежесть решает между днями, полнота и зарплата — внутри дня.