W skrócie
- Zadania: Twórz narzędzia do wykrywania złośliwego kodu i analizuj luki w oprogramowaniu.
- Firma: TuxCare, lider w rozwiązaniach bezpieczeństwa dla systemów Linux.
- Benefity: Elastyczne godziny pracy, 24 dni urlopu, prywatna opieka zdrowotna.
- Pozostałe informacje: Możliwość pracy zdalnej i rozwijania kariery w dynamicznym środowisku.
- Dlaczego ta praca: Dołącz do innowacyjnego zespołu i wpływaj na bezpieczeństwo open-source.
- Kwalifikacje: Doświadczenie w badaniach bezpieczeństwa i programowaniu w Pythonie.
Przewidywane wynagrodzenie mieści się w przedziale 49500 - 60500 zł za rok.
TuxCare provides security solutions for Linux and open-source software used by enterprise organizations. Our products help companies automate vulnerability patching, reduce downtime, maintain security and compliance, and support critical systems throughout their lifecycle.
We are looking for a Senior / Principal Security Research Engineer to start the Security Research & Automation function of SecureChain. SecureChain is TuxCare's open-source software supply chain security product. It provides packages rebuilt from verified source code, scanned for malware and supply chain risks.
Misja
Ty będziesz pierwszym inżynierem nowej funkcji, z planem rozwoju do trzech lub czterech osób. Jesteś badaczem bezpieczeństwa przede wszystkim, a Twoim zadaniem jest budowanie narzędzi i procesów produkcyjnych, aby skalować swoje badania.
Funkcja ma trzy cele:
- Wykrywanie złośliwego kodu przed publikacją pakietu przez SecureChain.
- Budowanie procesów, które znajdują i pomagają naprawić wysokie i krytyczne luki w utrzymywanym i wycofanym oprogramowaniu open-source.
- Publikowanie użytecznych, opartych na dowodach badań bezpieczeństwa po skoordynowanej ujawnieniu.
Twoje obowiązki:
- Posiadanie detektora złośliwego kodu SecureChain: przegląd alertów i klasyfikacja, zbiór testowy, wskaźniki jakości, metryki fałszywych pozytywów i pokrycia.
- Rozszerzanie wykrywania za pomocą skanowania artefaktów, sygnałów statycznych, analizy dynamicznej i zewnętrznych informacji.
- Budowanie powtarzalnych procesów, które odkrywają nowe luki w oprogramowaniu, które wspiera SecureChain i ELS, z priorytetem na wysokie/krytyczne ryzyka oraz wersje EOL, które klienci nadal używają.
- Reprodukcja ustaleń, udowadnianie wpływu i dostępności oraz przechowywanie dowodów, aby inny badacz mógł powtórzyć wynik.
- Opracowywanie metod wspomaganych przez AI do generowania i testowania kandydatów na poprawki oraz wprowadzanie ich do naszej automatyzacji łatania.
- Posiadanie pracy CNA TuxCare: przypisanie CVE, jakość zapisów i skoordynowane ujawnienie z projektami upstream.
- Przygotowywanie technicznych opisów i publikacji badawczych we współpracy z Marketingiem.
Twoje pierwsze 90 dni:
- Dni 1–30: przejęcie detektora złośliwego kodu, jego przegląd próbek i odpowiedzialności CNA; inwentaryzacja usług, danych, podpowiedzi, zbiorów i otwartej pracy.
- Dni 31–60: poprawa detektora i jego przepływu pracy przeglądowej, pomiar objętości alertów, fałszywych pozytywów i kosztów; rozpoczęcie pilota odkrywania luk w 5–10 pakietach jednego ekosystemu.
- Dni 61–90: rozszerzenie odkrywania w całym ekosystemie, zakończenie skoordynowanego ujawnienia tam, gdzie to możliwe, publikacja pierwszego wyniku badawczego.
Wymagania:
- Tło w badaniach bezpieczeństwa: badania nad złośliwym oprogramowaniem lub łańcuchem dostaw oprogramowania, odkrywanie luk i analiza przyczyn źródłowych.
- Silna znajomość Pythona lub innego odpowiedniego języka systemowego; budujesz narzędzia i procesy, które działają w produkcji.
- CI pipelines, automatyzacja testów i usługi operacyjne.
- Praktyczne wykorzystanie analizy statycznej, fuzzingu i sandboxingu.
- Intensywne, codzienne korzystanie z narzędzi wspomaganych przez AI w badaniach i inżynierii.
- Doświadczenie z więcej niż jednym ekosystemem pakietów (np. PyPI, npm, Maven, Go, dystrybucje Linuksa).
- Jasne raporty badawcze i doświadczenie w skoordynowanym ujawnieniu.
- Zaawansowany angielski w mowie i piśmie.
Preferencje:
- Opublikowane CVE, porady lub badania bezpieczeństwa.
- Doświadczenie z operacjami CNA lub bazami danych luk (CVE, OSV).
To nie jest rola analityka SOC, zgodności, testowania penetracyjnego ani ogólnego rozwoju oprogramowania.
Co oferujemy?
- Skupienie na rozwoju zawodowym.
- Interesujące i wymagające projekty.
- W pełni zdalna praca z elastycznymi godzinami pracy, co pozwala na zaplanowanie dnia i pracę z dowolnej lokalizacji na całym świecie.
- Płatne 24 dni urlopu rocznie, 10 dni świąt narodowych i nieograniczone zwolnienia chorobowe.
- Kompenacja za prywatne ubezpieczenie zdrowotne.
- Zwrot kosztów za współpracę i siłownię/sport.
- Budżet na edukację.
- Możliwość otrzymania nagrody za najbardziej innowacyjny pomysł, który firma może opatentować.
Ubiegając się o to stanowisko, wyrażasz zgodę na przetwarzanie swoich danych osobowych zgodnie z naszą Polityką Prywatności.
Senior Security Research Engineer in Warsaw – pracodawca: TuxCare Inc.
TuxCare to doskonały pracodawca, oferujący elastyczne godziny pracy oraz możliwość pracy zdalnej, co sprzyja równowadze między życiem zawodowym a prywatnym. Nasza kultura pracy opiera się na innowacyjności i współpracy, a pracownicy mają dostęp do prywatnej opieki medycznej oraz możliwości rozwoju zawodowego poprzez wykorzystanie nowoczesnych narzędzi, takich jak agentów AI do kodowania. Dołączając do nas, stajesz się częścią zespołu, który dąży do poprawy bezpieczeństwa w ekosystemach technologicznych.
