Инженер по безопасности

Навыки

• API (интеграции)
• AWS
• Burp Suite
• Коммуникация
• GraphQL
• JWT
• Kubernetes

О компании и продукте

• Мы ценим, если у вас есть следующие личные качества: Сильные коммуникативные навыки для эффективного взаимодействия с командами инженеров, продуктов и DevOps. Ориентированность на результат. Готовность к обучению. Мы ищем тех, кто разделяет наши основные ценности: GROWE TOGETHER: Наша команда — наш главный актив. Мы работаем вместе и поддерживаем друг друга для достижения общих целей

Задачи

• Проводить ручные и инструментальные обзоры кода для выявления уязвимостей безопасности, логических ошибок и небезопасных решений в реализации до того, как код попадет в продакшн
• Выполнять практические тесты на проникновение веб-приложений, микросервисов и API для обнаружения уязвимостей безопасности и ошибок бизнес-логики
• Аудитировать REST и GraphQL API и веб-приложения с особым вниманием к основным рискам безопасности приложений, аутентификации, авторизации и бизнес-логике
• Нам нужен ваш профессиональный опыт: 2-4 года опыта в области безопасности приложений, безопасности продуктов или тестирования на проникновение
• Практический опыт триажа и анализа результатов Semgrep / OpenGrep, Gitleaks, Trivy и OSV-Scanner
• DRIVE RESULT OVER PROCESS: Мы ставим амбициозные, четкие, измеримые цели в соответствии с нашей стратегией и движем Growe к успеху
• BE READY FOR CHANGE: Мы рассматриваем вызовы как возможности для роста и развития. Мы адаптируемся сегодня, чтобы побеждать завтра

Требования

• Growe приветствует тех, кто с энтузиазмом готов: Триажировать, проверять и приоритизировать результаты сканирования безопасности из инструментов SAST, SCA и Secret scanning, фильтровать ложные срабатывания, оценивать риски и отслеживать проблемы до их устранения
• Опыт работы с Burp Suite (Pro), Nuclei, Subfinder, SQLmap, Metasploit и NetExec
• Глубокое понимание классических уязвимостей OWASP Top 10, включая инъекции (SQLi, Command Injection), Server-Side Request Forgery (SSRF), Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), нарушения контроля доступа / небезопасные прямые ссылки на объекты (IDOR / BOLA), неправильные настройки безопасности, криптографические ошибки, небезопасную десериализацию и массовое присвоение
• Твердые знания OWASP API Security Top 10 для архитектур REST и GraphQL
• Глубокое понимание протоколов идентификации и механизмов контроля доступа (OAuth 2.0, OIDC, JWT, SAML, RBAC/ABAC)
• Умение выявлять сложные обходы авторизации, ошибки управления сессиями и баги бизнес-логики
• Умение читать и анализировать современный код приложений для выявления уязвимостей (будет плюсом)
• Понимание принципов безопасности облачных сред AWS и основ безопасности Kubernetes (K8s) (будет плюсом)
• Средний уровень английского языка (устный и письменный)

Паспорт вакансии

История публикации

Откуда что взялось

Отмечено то, что вывели мы. Без пометки — значение назвал работодатель.

Почему на этом месте в выдаче

Порядок выдачи объявлен контрактом: свежесть решает между днями, полнота и зарплата — внутри дня.