Application Security Engineer ВКонтакте

В роли специалиста по безопасности приложений в объединённой команде безопасности социальных сетей у тебя будет возможность внести значительный вклад в безопасность пользователей одних из самых популярных сайтов в России — ВКонтакте и Одноклассники, а также их различных сервисов-сателлитов.

В силу сравнительно большого уровня уникальности и кастомизации технологического стека, команда безопасности решает сложные и порой нетривиальные задачи на всех этапах разработки.

Мы занимаемся ревью безопасности архитектуры и кода, проводим анализ защищённости релизов, разрабатываем и интегрируем различные инструменты для автоматизации своих задач, плотно взаимодействуем с техническими и продуктовыми командами.

Мы за постоянное развитие — поэтому активно делимся опытом и знаниями, проходим различные курсы, играем в CTF, выступаем на конференциях и так далее. Кроме профессионального роста, мы стремимся создать среду, где каждый член нашей команды чувствует себя ценным и вовлечённым. У нас развита культура взаимопомощи и поддержки, где успехи отмечаются и делаются общими.

Задачи

• Поддержка и развитие процессов безопасной разработки
• Проведение аудитов безопасности и ревью продуктовых сервисов и приложений
• Разработка продуктовых требований по безопасности
• Автоматизация рутинных задач и разработка инструментов
• Разбор отчётов в программах Bug Bounty
• Помощь разработчикам в выборе безопасных решений и написании безопасного кода

Требования

• Опыт работы в области Application Security и (или) DevSecOps от двух лет
• Понимание причин возникновения и способов устранения/митигации распространённых уязвимостей (OWASP Top 10, OWASP Mobile Top 10, CWE Top 25)
• Понимание современного цикла разработки, процессов, практик и инструментов для обеспечения безопасности приложений
• Опыт анализа защищённости веб- и мобильных приложений
• Навыки работы и выстраивания процессов с распространёнными классами инструментов DevSecOps (SAST, SCA, DAST и т. п.)
• Владение одним из языков программирования: Go, PHP, Java, JS, Python

Будет плюсом

• Навыки моделирования угроз и оценки рисков с использованием распространённых методологий (STRIDE, DREAD и т. п.)
• Знание и опыт имплементации подхода Secure By Design/Default
• Знание основ операционных систем, современных облачных технологий и систем контейнеризации, методов обеспечения безопасности (Docker, Kubernetes, AWS и т. д.)
• Опыт участия в Bug Bounty и CTF, наличие собственных CVE
• Наличие профильных сертификатов (OSCP, OSWE, CDP и т. п.)
• Опыт выступления на профильных конференциях и (или) написания статей
• Опыт разработки и внедрения собственных прикладных инструментов
• Хорошее понимание особенностей клиент-серверного взаимодействия, обработки запросов, аутентификации, авторизации и управления сессиями