Senior Application Security Engineer in Katowice

W tej roli będziesz prowadzić testy penetracyjne skoncentrowane na aplikacjach w celu wsparcia produktów, weryfikując, że kontrole bezpieczeństwa działają zgodnie z zamierzeniami. Będziesz współpracować z naszymi zespołami inżynieryjnymi poprzez modelowanie zagrożeń i przeglądy projektów oprogramowania oraz działać jako zaufany doradca w kwestiach bezpieczeństwa i poprawek w całej organizacji deweloperskiej.

Obowiązki:

• Prowadzenie i wykonywanie testów penetracyjnych skoncentrowanych na aplikacjach, w tym aplikacjach internetowych, API, usługach i infrastrukturze wspierającej, aby zweryfikować skuteczność kontroli bezpieczeństwa.
• Doradzanie zespołom rozwoju i inżynierii oprogramowania w kwestiach bezpieczeństwa oraz praktycznych, dobrze zbadanych poprawkach.
• Demonstrowanie luk w zabezpieczeniach i prowadzenie procesu usuwania do zakończenia.
• Przeprowadzanie modelowania zagrożeń i przeglądów projektów oprogramowania na wczesnym etapie cyklu życia rozwoju, aby zidentyfikować ryzyka przed wdrożeniem kodu.
• Wykonywanie ukierunkowanych przeglądów kodu źródłowego w różnych technologiach, w tym Java, Struts, C#, Perl, Jetty, Envoy Proxy i kontenery opartych na Alpine Linux.
• Przekształcanie ustaleń technicznych w ryzyko biznesowe i komunikowanie ich do odbiorców, od inżynierów po kierownictwo wykonawcze.
• Opracowywanie dokładnych, wykonalnych raportów i prezentacji dla członków zespołu technicznego i wykonawczego.
• Bezpieczne korzystanie z narzędzi, technik i procedur atakujących w ramach określonych zasad zaangażowania.
• Opracowywanie skryptów, narzędzi i metodologii w celu rozwijania programu oceny aplikacji i wspierania innych zespołów.
• Pomoc w definiowaniu standardów, metodologii i celów programu testów penetracyjnych aplikacji, we współpracy z kierownictwem ds. bezpieczeństwa.
• Współpraca z zespołem ds. bezpieczeństwa aplikacji, Red Team, zarządzaniem produktem i inżynierią w celu wsparcia programu „bezpieczeństwo przez projektowanie”.
• Wsparcie triage błędów i zewnętrznych testów penetracyjnych, w tym weryfikacja ustaleń i ponowne testowanie poprawek.
• Mentorowanie młodszych członków zespołu i mistrzów bezpieczeństwa w technikach ofensywnego bezpieczeństwa aplikacji.

Wymagania:

• 10-letnie doświadczenie w technologii informacyjnej, w tym minimum 6 lat w testach penetracyjnych lub bezpieczeństwie aplikacji.
• Tło w zakresie rozwoju oprogramowania lub inżynierii, z praktycznym doświadczeniem w Java, Struts, C# i Perl.
• Znajomość Alpine Linux, Envoy Proxy i Jetty, w tym powszechnych błędów konfiguracyjnych i praktyk wzmacniania.
• Udokumentowane doświadczenie w metodologiach modelowania zagrożeń, takich jak STRIDE, PASTA lub drzewa ataków, oraz w przeglądach projektów i architektury oprogramowania.
• Ekspert w zakresie OWASP Top 10, OWASP API Security Top 10 oraz OWASP Testing Guide / ASVS.
• Dogłębna wiedza na temat protokołów sieciowych i internetowych, takich jak HTTP/HTTPS, TLS, TCP/IP oraz ramy uwierzytelniania i autoryzacji, takie jak OAuth2, OIDC, SAML i JWT.
• Silna znajomość narzędzi do testowania aplikacji, takich jak Burp Suite Professional, oraz znajomość narzędzi SAST, DAST i SCA.
• Szczegółowa wiedza na temat luk w zabezpieczeniach i technik ich usuwania, w tym deserializacja, wstrzykiwanie, SSRF, kontrola dostępu i błędy logiki biznesowej.
• Doświadczenie w opracowywaniu, rozszerzaniu lub modyfikowaniu exploitów lub narzędzi exploitacyjnych.
• Doświadczenie w skryptowaniu i automatyzacji przy użyciu Pythona, Perla, Basha lub PowerShell.
• Znajomość AWS, Dockera, Kubernetes i pipeline'ów CI/CD.
• Preferowane certyfikaty OSCP, OSWE, OSEP, GWAPT lub równoważne.
• Umiejętność prezentowania pomysłów i rozwiązań oraz jasnej, zwięzłej i dokładnej komunikacji na wszystkich poziomach organizacji.
• Umiejętność doprowadzania pracy do końca w określonych terminach.