DevSecOps/AppSec/инженер по ИБ
Описание
Мы ищем специалиста по безопасности ПО с практическим опытом фаззинг-тестирования. Основная задача - настройка, запуск и развитие процессов фаззинга для поиска ошибок и потенциальных уязвимостей в программном обеспечении, а также автоматизация этих процессов и их интеграция в конвейеры безопасной разработки.Помимо фаззинга, предстоит работать с инструментами статического и динамического анализа, анализом зависимостей и другими инструментами РБПО.Чем предстоит заниматься Настройка и проведение фаззинг-тестирования системного и прикладного ПО с использованием AFL++, libFuzzer и аналогичных инструментов. Подготовка окружений для фаззинга: сборка проектов с инструментированием, настройка компиляторов, санитайзеров и параметров запуска. Анализ исходного кода и архитектуры приложений для выбора целей фаззинга, определения точек входа и подготовки harness-обёрток для тестируемых компонентов. Настройка сбора и анализа покрытия кода, оценка эффективности фаззинга и оптимизация его производительности. Интеграция фаззинг-тестирования в CI/CD-конвейеры, разработка скриптов и переиспользуемых компонентов для автоматизации запусков и обработки результатов. Проведение статического и динамического анализа кода с использованием SAST/DAST-инструментов, валидация результатов и отсеивание ложных срабатываний. Анализ сторонних зависимостей с помощью SCA-инструментов и поиск секретов в исходном коде. Участие в развитии процессов безопасной разработки (SSDLC) и сопровождении технических требований ГОСТ Р 56939-2024. Обязательные требования Уверенное владение Linux, командной строкой и инструментами диагностики и отладки. Практический опыт настройки и запуска фаззеров, например AFL++ или libFuzzer. Понимание принципов coverage-guided fuzzing, механизмов мутации входных данных и влияния покрытия кода на эффективность фаззинга. Опыт сборки проектов с инструментированием, работы с компиляторами и санитайзерами, например AddressSanitizer и UndefinedBehaviorSanitizer. Навыки программирования или автоматизации на Python и/или Bash. Опыт работы с CI/CD-системами (Jenkins, GitLab CI, GitHub Actions или аналогичными) и автоматизации тестирования. Понимание принципов статического анализа кода и умение проверять результаты автоматизированных инструментов. Будет плюсом Опыт построения инфраструктуры для параллельного или распределённого фаззинга, управления несколькими агентами и сбора результатов. Опыт работы с afl-cov, gcov, llvm-cov или аналогичными инструментами анализа покрытия кода. Опыт фаззинга системных библиотек, сетевых сервисов, парсеров, протоколов или компонентов баз данных. Опыт работы с SAST-инструментами: Svace, Semgrep, CodeQL, SonarQube, Bandit и другими. Опыт работы с DAST-инструментами, Valgrind и санитайзерами. Опыт использования Trivy, Dependency-Track, Gitleaks, TruffleHog и аналогичных инструментов.Что мы предлагаем: Стабильность, постоянное трудоустройство в быстрорастущей компании, занимающейся импортозамещением; Работа в аккредитованной Минцифры IT-компании, продукты которой находятся в реестре российского ПО; Комфорт: нет бюрократии, проводим собеседование в 1, max 2 этапа и быстро даем фидбек, гибкое начало рабочего дня и нет дресс-кода; Плавный ввод в должность, период адаптации, наставничество; ДМС со стоматологией; Внутреннее и внешнее обучение; Корпоративная жизнь - совместные образовательные, спортивные и развлекательные мероприятия.