W skrócie
- Zadania: Twórz narzędzia do wykrywania złośliwego kodu i analizuj luki w oprogramowaniu.
- Firma: TuxCare, lider w rozwiązaniach bezpieczeństwa dla systemów Linux.
- Benefity: Elastyczne godziny pracy, 24 dni urlopu, prywatna opieka zdrowotna i budżet na edukację.
- Pozostałe informacje: Możliwość pracy zdalnej i rozwój kariery w dynamicznym środowisku.
- Dlaczego ta praca: Dołącz do innowacyjnego zespołu i wpływaj na bezpieczeństwo oprogramowania open-source.
- Kwalifikacje: Doświadczenie w badaniach bezpieczeństwa i programowaniu w Pythonie.
Przewidywane wynagrodzenie mieści się w przedziale 49500 - 60500 zł za rok.
TuxCare zapewnia rozwiązania zabezpieczeń dla systemów Linux i oprogramowania open-source używanego przez organizacje przedsiębiorstw. Nasze produkty pomagają firmom automatyzować łatanie luk w zabezpieczeniach, zmniejszać przestoje, utrzymywać bezpieczeństwo i zgodność oraz wspierać krytyczne systemy przez cały ich cykl życia.
Poszukujemy Starszego / Głównego Inżyniera Badań Bezpieczeństwa, który rozpocznie funkcję Badań i Automatyzacji Bezpieczeństwa SecureChain. SecureChain to produkt TuxCare dotyczący bezpieczeństwa łańcucha dostaw oprogramowania open-source. Oferuje pakiety odbudowane z weryfikowanego kodu źródłowego, skanowane pod kątem złośliwego oprogramowania i ryzyk związanych z łańcuchem dostaw.
Misja
Będziesz pierwszym inżynierem nowej funkcji, z planem rozwoju do trzech lub czterech osób. Jesteś badaczem bezpieczeństwa przede wszystkim, a Twoim zadaniem jest budowanie narzędzi i procesów produkcyjnych, aby skalować swoje badania.
Funkcja ma trzy cele:
- Wykrywanie złośliwego kodu przed publikacją pakietu przez SecureChain.
- Budowanie procesów, które znajdują i pomagają naprawić wysokie i krytyczne luki w zabezpieczeniach w utrzymywanym i wygasłym oprogramowaniu open-source.
- Publikowanie użytecznych, opartych na dowodach badań bezpieczeństwa po skoordynowanym ujawnieniu.
Twoje obowiązki:
- Posiadanie detektora złośliwego kodu SecureChain: przegląd i klasyfikacja alertów, zbiór testowy, wskaźniki jakości, metryki fałszywych alarmów i pokrycia.
- Rozszerzanie wykrywania o skanowanie artefaktów, sygnały statyczne, analizę dynamiczną i inteligencję zewnętrzną.
- Budowanie powtarzalnych procesów, które odkrywają nowe luki w oprogramowaniu, które wspiera SecureChain i ELS, z priorytetem na wysokie/krytyczne ryzyka oraz wersje EOL, które klienci nadal używają.
- Reprodukcja ustaleń, udowadnianie wpływu i dostępności oraz przechowywanie dowodów, aby inny badacz mógł powtórzyć wynik.
- Opracowywanie metod wspomaganych przez AI do generowania i testowania kandydatów na poprawki oraz wprowadzanie ich do naszej automatyzacji łatania.
- Posiadanie pracy CNA TuxCare: przypisanie CVE, jakość zapisów i skoordynowane ujawnienie z projektami upstream.
- Przygotowywanie technicznych opisów i publikacji badawczych we współpracy z Marketingiem.
Twoje pierwsze 90 dni:
- Dni 1–30: przejęcie detektora złośliwego kodu, przegląd próbek i odpowiedzialności CNA; inwentaryzacja usług, danych, podpowiedzi, zbiorów i otwartej pracy.
- Dni 31–60: poprawa detektora i jego procesu przeglądu, pomiar objętości alertów, fałszywych alarmów i kosztów; rozpoczęcie pilota odkrywania luk w 5–10 pakietach jednego ekosystemu.
- Dni 61–90: rozszerzenie odkrywania w całym ekosystemie, zakończenie skoordynowanego ujawnienia tam, gdzie to możliwe, publikacja pierwszego wyniku badawczego.
Wymagania:
- Tło w badaniach bezpieczeństwa: badania nad złośliwym oprogramowaniem lub łańcuchem dostaw oprogramowania, odkrywanie luk i analiza przyczyn źródłowych.
- Silna znajomość Pythona lub innego odpowiedniego języka systemowego; budujesz narzędzia i procesy, które działają w produkcji.
- CI pipelines, automatyzacja testów i usługi operacyjne.
- Praktyczne wykorzystanie analizy statycznej, fuzzingu i sandboxingu.
- Intensywne, codzienne korzystanie z narzędzi wspomaganych przez AI w badaniach i inżynierii.
- Doświadczenie z więcej niż jednym ekosystemem pakietów (np. PyPI, npm, Maven, Go, dystrybucje Linuxa).
- Jasne raporty badawcze i doświadczenie w skoordynowanym ujawnieniu.
- Zaawansowany angielski w mowie i piśmie.
Preferencje:
- Opublikowane CVE, porady lub badania bezpieczeństwa.
- Doświadczenie w operacjach CNA lub bazach danych luk (CVE, OSV).
To nie jest rola analityka SOC, zgodności, testowania penetracyjnego ani ogólnego rozwoju oprogramowania.
Co oferujemy?
- Skupienie na rozwoju zawodowym.
- Interesujące i wymagające projekty.
- W pełni zdalna praca z elastycznymi godzinami pracy, co pozwala na planowanie dnia i pracę z dowolnej lokalizacji na całym świecie.
- Płatne 24 dni urlopu rocznie, 10 dni świąt narodowych oraz nieograniczone dni chorobowe.
- Kompenacja za prywatne ubezpieczenie zdrowotne.
- Zwrot kosztów coworkingu i sportu/siłowni.
- Budżet na edukację.
- Możliwość otrzymania nagrody za najbardziej innowacyjny pomysł, który firma może opatentować.
Ubiegając się o to stanowisko, wyrażasz zgodę na przetwarzanie swoich danych osobowych zgodnie z naszą Polityką Prywatności.
Senior Security Research Engineer in Warsaw – pracodawca: TuxCare
TuxCare oferuje wyjątkowe możliwości rozwoju zawodowego w dynamicznym środowisku pracy, gdzie innowacje i badania są na pierwszym miejscu. Pracownicy mają szansę na współtworzenie nowych funkcji i narzędzi w obszarze bezpieczeństwa oprogramowania open-source. Firma stawia na automatyzację procesów oraz wsparcie krytycznych systemów, co przekłada się na stabilność i bezpieczeństwo pracy.
