AppSec-инженер / Специалист по информационной безопасности

Описание

ITD Group — группа компаний, которая более 15 лет активно продвигает на рынках России и СНГ решения в сфере защиты информации. Одно из наших направлений — разработка решений в области информационной безопасности. Команда SASTAV развивает направление AppSec и занимается разработкой продуктов для статического анализа кода. Решение используется крупнейшими компаниями России и находится на стадии активного развития. Сейчас мы расширяем команду и ищем специалиста, который будет развивать продукт: разрабатывать и улучшать правила поиска уязвимостей, повышать точность и покрытие проверок и участвовать в развитии инструментов статического анализа. Чем предстоит заниматься: Разрабатывать и улучшать правила SAST; Исследовать уязвимости в исходном коде: разбирать причины возникновения, условия эксплуатации и способы автоматического обнаружения; Анализировать результаты сканирования, находить причины ложных срабатываний и пропусков, повышать точность и покрытие проверок; Создавать тестовые примеры с уязвимым и безопасным кодом и поддерживать наборы тестов для проверки качества правил; Готовить описания срабатываний и рекомендации по исправлению уязвимостей; Совместно с разработчиками анализатора определять необходимые возможности движка для улучшения проверок. Что хотим увидеть у вас: Мы рассматриваем специалистов разного уровня — от начинающих специалистов до опытных инженеров. Для более высокой позиции важен прикладной опыт работы с SAST-инструментами. Практический опыт в AppSec: поиск и анализ уязвимостей в исходном коде, проведение security code review; Понимание распространённых классов уязвимостей, условий их эксплуатации и способов исправления; Понимание основ статического анализа: поток данных, источники недоверенных данных, опасные операции и санитизация; Умение переводить описание уязвимости в условия автоматической проверки и проверять их на уязвимых и безопасных примерах; Навыки работы с Git, автоматизированными тестами и ревью кода; Знание одного из веб-фреймворков; Для более высокой позиции прикладной опыт работы с SAST-инструментами. Желательные навыки: Практический опыт работы с SAST: разбор срабатываний, выявление ложных результатов, понимание причин пропусков; Опыт разработки правил для SAST, например Semgrep или CodeQL, либо собственного анализатора; Опыт работы с taint-анализом, межпроцедурным анализом и моделированием поведения библиотек и фреймворков; Опыт системной оценки качества статического анализа на тестовых наборах и реальных проектах; Опыт исследования уязвимостей и подготовки минимальных примеров, подтверждающих проблему; Знакомство с SCA, прямыми и транзитивными зависимостями, экосистемами пакетных менеджеров; Понимание анализа достижимости: построения графа вызовов и определения, может ли приложение вызвать уязвимый код зависимости. Мы рады предложить: Официальное трудоустройство в аккредитованной IT-компании по ТК РФ; Удаленка по РФ, а также есть возможность работать в уютном офисе на ст. метро Белорусская. 28 + 3 дня отпуска в год; Гибкая система льгот: предлагаем на выбор ДМС со стоматологией, абонемент на занятия спортом или компенсацию языковых курсов; Вся необходимая рабочая техника; Возможность обучения за счет компании; Действительно дружная команда из 100+ отличных ребят, которые горят своим делом, а в свободное время катаются на моноколесе, тюнят машины, коллекционируют охотничье нарезное и делают многое другое, о чем подробно расскажут новому коллеге за утренним кофе :)