Lead Penetration Tester in Katowice

Doświadczenie: 5-10 lat

Lokalizacja: Polska

Umiejętności: Bezpieczeństwo aplikacji, testowanie penetracyjne (metodologia PTES), testowanie penetracyjne i raportowanie, bezpieczeństwo.

Grupa technologii przedsiębiorstw buduje dedykowany zespół walidacji bezpieczeństwa skoncentrowany na ocenie podatności i testowaniu bezpieczeństwa w produktach i systemach grupy. Zespół prowadzi strukturalne kampanie testowe: testowanie penetracyjne, odkrywanie i triage podatności, przegląd kodu zabezpieczeń oraz budowanie zautomatyzowanych zestawów testowych, aby proces był powtarzalny na dużą skalę. Zespół ma również wczesny dostęp do specjalistycznych modeli AI i ocenia, jak mogą one przyspieszyć testowanie bezpieczeństwa – obszar, w który aktywnie inwestujemy, chociaż rdzeń pracy pozostaje w rękach inżynierii bezpieczeństwa. Zakres obejmuje systemy wewnętrzne oraz produkty jednostek biznesowych w całej grupie, uzgodnione kampania po kampanii. Zespół zaczyna od małych działań i rozwija się w stałą zdolność.

Wymagania

• Umiejętności niezbędne:
• Eksploatacja techniczna: Zaawansowana wiedza w zakresie testowania aplikacji internetowych (OWASP Top 10), testowania bezpieczeństwa API, eksploatacji sieci wewnętrznych/zewnętrznych oraz technik eskalacji uprawnień.
• Chmura i infrastruktura: Dogłębna wiedza na temat zabezpieczania i eksploatacji głównych dostawców chmur (AWS, Azure lub GCP) oraz nowoczesnych środowisk kontenerowych (Docker, Kubernetes).
• Scripting i rozwój: Doświadczenie w programowaniu w językach skryptowych; preferowany Python.
• Mistrzostwo narzędzi: Zaawansowane korzystanie z narzędzi oceny bezpieczeństwa (Burp Suite Pro, Metasploit, Cobalt Strike, Nmap, Wireshark, BloodHound, Impacket itp.).
• Protokoły: Silna znajomość protokołów sieciowych (np. TLS, mTLS), a także protokołów domeny OT (np. Modbus, TRDP). Dobra znajomość znanych protokołów (np. OIDC, OAuth2.0).
• Ryzyko i raportowanie: Silna umiejętność pisania kompleksowych, wysokiej jakości raportów oceny i jasnego komunikowania ryzyka technicznego do kierownictwa i liderów biznesowych.
• Planowanie testów penetracyjnych: Doświadczenie w planowaniu map drogowych dla testów penetracyjnych i prowadzeniu zespołów testujących.

Doświadczenie: praktyczne doświadczenie w testowaniu penetracyjnym, badaniach podatności lub red teaming, z udokumentowanym doświadczeniem w prowadzeniu projektów lub zespołów bezpieczeństwa.

Wykształcenie: Tytuł licencjata w dziedzinie informatyki, cyberbezpieczeństwa, technologii informacyjnej lub równoważne praktyczne doświadczenie.

Certyfikaty (będą plusem): OSCP (Offensive Security Certified Professional) / OSWE / OSEP, GXPN (GIAC Exploit Researcher and Advanced Penetration Tester), CISSP lub równoważny zaawansowany certyfikat bezpieczeństwa.

Obowiązki:

Poszukujemy eksperta ds. testowania penetracyjnego, który poprowadzi naszą strategię bezpieczeństwa ofensywnego i przeprowadzi zaawansowane oceny bezpieczeństwa w aplikacjach, sieciach, OT i środowiskach chmurowych. W tej roli o wysokim wpływie będziesz przeprowadzać złożone testy penetracyjne, symulować wyrafinowane zagrożenia cybernetyczne (Red Teaming) oraz współpracować bezpośrednio z zespołami inżynieryjnymi i produktowymi w celu usunięcia krytycznych podatności.

• Kluczowe obowiązki:
• Operacje bezpieczeństwa ofensywnego: Prowadzenie i wykonywanie testów penetracyjnych end-to-end w aplikacjach internetowych, platformach mobilnych, infrastrukturze chmurowej (AWS/Azure/GCP), API, OT i sieciach.
• Red Teaming i symulacja zagrożeń: Planowanie i wykonywanie ćwiczeń symulacyjnych przeciwnika: Modelowanie zagrożeń (drzewo ataku, STRIDE itp.).
• Przegląd architektury i kodu: Przeprowadzanie przeglądów kodu zabezpieczeń i ocen architektonicznych w celu wczesnego identyfikowania błędów logicznych i słabości projektowych w cyklu życia rozwoju oprogramowania (SDLC).
• Usuwanie i współpraca: Współpraca z zespołami inżynieryjnymi, DevOps i bezpieczeństwa w celu artykułowania powagi ryzyka i dostarczania praktycznych wskazówek dotyczących usuwania podatności.
• Przywództwo i mentoring: Prowadzenie, mentorowanie i podnoszenie poziomu seniorów i juniorów inżynierów w zespole bezpieczeństwa ofensywnego; ustalanie standardów jakości dla zakresu ocen i dostarczania raportów.
• Narzędzia i automatyzacja: Projektowanie, budowanie i utrzymywanie niestandardowych narzędzi, skryptów i frameworków testowych w celu zwiększenia efektywności testowania penetracyjnego.
• Komunikacja z kierownictwem: Tłumaczenie złożonych ustaleń technicznych na jasne, wpływowe podsumowania dla kierownictwa oraz raporty ryzyka dla interesariuszy technicznych i nietechnicznych.

Co oferujemy:

• Empowering Projects: Z ponad 500 klientami z różnych branż i dziedzin, oferujemy ekscytującą możliwość przyczynienia się do przełomowych projektów wykorzystujących nowoczesne technologie.
• Empowering Growth: Promujemy kulturę ciągłego uczenia się i rozwoju zawodowego. Nasze zaangażowanie polega na zapewnieniu terminowej i kompleksowej pomocy dla każdego konsultanta poprzez nasz dedykowany zespół ds. nauki i rozwoju, zapewniając ich ciągły rozwój i sukces.
• DE&I Matters: W GlobalLogic głęboko cenimy i akceptujemy różnorodność. Jesteśmy zobowiązani do zapewnienia równych szans dla wszystkich osób, wspierając inkluzywne i wzmacniające środowisko pracy.
• Rozwój kariery: Nasza kultura korporacyjna kładzie silny nacisk na rozwój kariery, oferując obfite możliwości wzrostu. Regularne interakcje z naszymi zespołami zapewniają ich zaangażowanie, motywację i uznanie.
• Kompleksowe korzyści: Oprócz sprawiedliwej rekompensaty, oferujemy kompleksowy pakiet świadczeń, który priorytetowo traktuje ogólne dobro naszych konsultantów. Naprawdę dbamy o ich zdrowie i staramy się stworzyć pozytywne środowisko pracy.
• Elastyczne możliwości: W GlobalLogic priorytetowo traktujemy równowagę między życiem zawodowym a prywatnym, oferując elastyczne możliwości dostosowane do Twojego stylu życia. Zbadaj opcje relokacji i rotacji dla różnorodnych doświadczeń kulturowych i zawodowych w różnych krajach z naszą firmą.

O GlobalLogic: GlobalLogic, firma należąca do grupy Hitachi, jest zaufanym partnerem inżynieryjnym w dziedzinie cyfrowej dla największych i najbardziej myślących przyszłościowo firm na świecie. Od 2000 roku jesteśmy na czołowej pozycji w rewolucji cyfrowej – pomagając tworzyć niektóre z najbardziej innowacyjnych i szeroko stosowanych produktów i doświadczeń cyfrowych. Dziś nadal współpracujemy z klientami w transformacji biznesów i redefiniowaniu branż poprzez inteligentne produkty, platformy i usługi.