Offensive Security Engineer, Penetration Testing in Warsaw

Job Location: WARSAW PLANT & GO

Czy jesteś osobą, która pasjonuje się łamaniem aplikacji, urządzeń, usług i/lub procesów, aby pomóc w ich ochronie przed najbardziej zaawansowanymi przeciwnikami w dziedzinie cyberbezpieczeństwa? Organizacja Information Security Protect w Procter & Gamble jest odpowiedzialna za dostarczanie realistycznego obrazu zachowań i scenariuszy aktorów zagrożeń podczas symulowanych ćwiczeń. Napędzamy poprawę aplikacji i systemów, a także zdolności wykrywania i reagowania poprzez regularne testowanie zabezpieczeń w całym przedsiębiorstwie.

Obowiązki:

• Prowadzenie testów penetracyjnych o zdefiniowanym zakresie w przypisanych obszarach, takich jak strony internetowe, usługi, API, infrastruktura, środowiska chmurowe, sieci, urządzenia IoT, aplikacje mobilne i aplikacje korporacyjne.
• Współpraca z zarządzaniem zgłoszeniami, starszymi testerami i interesariuszami w celu potwierdzenia celów, dostępu, zasad zaangażowania, założeń testowych i gotowości do zaangażowania.
• Wykonywanie działań testowych, w tym rozpoznania, odkrywania luk, eksploatacji, zbierania dowodów, raportowania i walidacji naprawy.
• Identyfikowanie, walidowanie, eksploatowanie i dokumentowanie luk w zabezpieczeniach, działając bezpiecznie w ramach zatwierdzonego zakresu.
• Walidowanie powiązanych luk tam, gdzie to stosowne, aby wykazać realistyczny wpływ w granicach zaangażowania, eskalując złożone łańcuchy ataków w razie potrzeby.
• Testowanie luk w kontrolach, gdzie to istotne, oraz dokumentowanie zaobserwowanych słabości w kontrolach zapobiegawczych lub detekcyjnych.
• Badanie i walidowanie ustaleń Programu Ujawniania Luk oraz programów Bug Bounty, eskalując złożone lub mające duży wpływ problemy w razie potrzeby.
• Współpraca z zespołami inżynieryjnymi, produktowymi, chmurowymi, infrastrukturalnymi i bezpieczeństwa w celu wyjaśnienia ustaleń i wsparcia praktycznej naprawy.
• Używanie zatwierdzonych skryptów, szablonów, automatyzacji i zautomatyzowanych przepływów pracy wspomaganych AI w celu wsparcia efektywności testowania, triage, raportowania i walidacji naprawy.
• Wsparcie w testowaniu aplikacji i integracji z AI pod kątem powszechnych ryzyk, takich jak wstrzykiwanie poleceń, ujawnienie danych wrażliwych, niebezpieczne użycie narzędzi i błędy autoryzacji.
• Produkcja jasnych, standardowych raportów z krokami reprodukcji, dowodami, wpływem, dotkniętymi systemami i wskazówkami dotyczącymi naprawy.
• Wkład w dzielenie się wiedzą w zespole, dokumentację, notatki testowe, szablony i opinie dotyczące procesów.

Wymagania:

• Wykształcenie wyższe lub równoważne polskie wykształcenie wyższe w dziedzinie bezpieczeństwa informacji, cyberbezpieczeństwa, informatyki lub pokrewnej dziedziny, LUB 2+ lata odpowiedniego doświadczenia zamiast dyplomu.
• 2+ lata doświadczenia w testach penetracyjnych, testowaniu bezpieczeństwa aplikacji, walidacji luk, ofensywnym bezpieczeństwie lub pokrewnej pracy w dziedzinie bezpieczeństwa.
• Umiejętność prowadzenia testów penetracyjnych o zdefiniowanym zakresie, zarządzania codziennym wykonaniem, jasnego dokumentowania wyników oraz odpowiedniego podnoszenia złożonych, nowatorskich lub wysokiego ryzyka problemów.
• Doświadczenie w identyfikowaniu, walidowaniu i eksploatowaniu słabości w co najmniej 2 domenach, takich jak aplikacje internetowe, API, aplikacje mobilne, infrastruktura chmurowa, aplikacje korporacyjne, bazy danych, sieci, serwery, urządzenia IoT, platformy tożsamości, usługi katalogowe lub systemy wspomagane AI.
• Umiejętność automatyzacji zadań za pomocą podstawowych skryptów lub programów w co najmniej jednym języku, takim jak Python, PowerShell, Bash, Go, C#, JavaScript lub podobnym.
• Podstawowe doświadczenie z linii poleceń Linux i znajomość środowisk opartych na Windows.
• Umiejętność czytania i rozumienia kodu wystarczająco dobrze, aby śledzić zachowanie aplikacji i identyfikować logikę istotną dla bezpieczeństwa.
• Podstawowe praktyczne doświadczenie z co najmniej jednym głównym dostawcą chmury, takim jak GCP, AWS lub Azure.
• Adwersarialne myślenie z umiejętnością myślenia z perspektywy atakującego, przestrzegając zasad zaangażowania i wskazówek dotyczących bezpieczeństwa.
• Jasne umiejętności komunikacji pisemnej i werbalnej z umiejętnością zwięzłego wyjaśniania ustaleń technicznych.

Preferowane umiejętności:

• Jedna lub więcej certyfikacji z zakresu testów penetracyjnych lub bezpieczeństwa, takich jak OSCP, OSWE, GPEN, GXPN, GWAPT, PNPT, eJPT lub podobne.
• Doświadczenie z CTF, programami Bug Bounty, programami ujawniania luk, skoordynowanym badaniem luk lub publicznymi publikacjami technicznymi.
• Doświadczenie w korzystaniu z narzędzi AI do wspomagania rozpoznania, przeglądu kodu, triage luk, opracowywania ładunków, raportowania lub walidacji naprawy.
• Ekspozycja na testowanie aplikacji wspomaganych AI, systemów opartych na LLM, agentów AI, systemów RAG, integracji modeli lub przepływów pracy wspomaganych AI.
• Doświadczenie z testowaniem mobilnym, IoT, systemami wbudowanymi, firmware, inżynierią odwrotną lub testowaniem bezpieczeństwa sprzętu.
• Ekspozycja na ścieżki ataku w chmurze i tożsamości związane z SSO, MFA, OAuth, IAM, ujawnieniem sekretów, dostępem warunkowym lub eskalacją uprawnień.
• Znajomość narzędzi takich jak Burp Suite, Nmap, Metasploit, Frida, Ghidra, IDA, BloodHound lub narzędzi do testowania bezpieczeństwa w chmurze.
• Ciekawość, pokora i chęć poprawy głębokości technicznej, jakości raportowania i spójności testowania.

Wynagrodzenie i benefity:

• Konkurencyjna pensja początkowa i program benefitów (prywatna opieka zdrowotna, akcje P&G, plany oszczędnościowe, karty sportowe).
• Regularne podwyżki wynagrodzenia i możliwe awanse - zgodnie z wynikami i osiągnięciami.
• Możliwość zmiany roli co kilka lat, aby być w najlepszym miejscu dla siebie i najlepszego dla P&G.

W Procter & Gamble przyjmujemy hybrydowy model pracy, który łączy elastyczność pracy zdalnej z korzyściami współpracy w biurze. Pracownicy mogą korzystać z możliwości pracy z domu przez dwa dni w tygodniu, jednocześnie spędzając czas w biurze, aby wspierać pracę zespołową i poprawiać komunikację. Zapewniamy, że osoby z niepełnosprawnościami otrzymują odpowiednie wsparcie, aby uczestniczyć w procesie aplikacji lub rozmowy kwalifikacyjnej. Jesteśmy pracodawcą równych szans i cenimy różnorodność w naszej firmie. Dążymy do budowania kultury, w której każdy czuje się mile widziany, włączony i może w pełni angażować się w pracę.