VK·Москва·18 ч назад
AppSec-инженер в MAX
🌍 УдалённоJuniorПолная занятость
Стоит ли откликаться
Стоит откликнуться, но спросите про деньги
Зарплату не указали, и сравнить её пока не с чем. О деньгах лучше спросить до собеседования.
1 из 4 в норме
Зарплата не указана: ваша цель, нижняя граница и фраза для первого созвона
Деньги
Вилку работодатель не назвал. Похожих вакансий для ориентира по рынку пока мало.
Живость
За вакансией наблюдаем недавно, выводов пока нет.
Описание
Текст ещё не разложен на обязанности и требования.
- Обещают
- аккредитованная IT-компания
- Не сказано
- как оформят, из каких стран можно работать и часовой пояс команды
Что требуют
ОбязательноPythonGoJavaRESTJSONCI/CDGitLab CIGitHub ActionsJenkins
ПлюсомDockerKubernetes
Полный разбор в Pro
Это короткий разбор. В Pro полный: под эту вакансию и ваше резюме
Сколько просить
Не продешевите: сумма под ваше резюме, нижняя граница и готовые фразы для торга
Ваше резюме против требований
Пройдёт ли ваше резюме фильтр: что совпало с требованиями и что дописать до отклика
Спросить у работодателя
10 вопросов именно к этой вакансии: что спросить на первом созвоне
Когда откликаться
Стоит ли спешить: за сколько дней VK обычно закрывает вакансии
30 дней Pro: полный разбор каждой вакансииЧто ещё входит в Pro
Описание вакансии
Мы разрабатываем крупнейший мессенджер в России, чтобы соединять людей, сервисы и компании. Наша миссия — создавать простые и удобные инструменты коммуникации.
Ищем в команду опытного инженера Application Security для поддержки и развития процессов безопасной разработки.
Задачи
Внедрение и развитие процессов Security SDLC: интеграция проверок безопасности на всех этапах разработки — от проектирования (Security Champions, threat modeling) до запуска в продакшен
Пентест и исследования: проведение ручного тестирования безопасности веб-приложений, мобильных приложений и API; участие в программах Bug Bounty
Работа со статическим и динамическим анализом кода (SAST/DAST): использование автоматизированных инструментов сканирования, триаж и написание рекомендаций по устранению
Код-ревью: проведение экспертного анализа исходного кода на предмет уязвимостей (OWASP Top 10, CWE)
Консультирование команд: тесная работа с разработчиками, архитекторами и DevOps-инженерами. Объяснение уязвимостей, помощь в поиске лучших способов их устранения, проведение воркшопов
Управление уязвимостями: классификация, приоритизация и контроль устранения найденных уязвимостей
Разработка безопасных стандартов: создание и внедрение чек-листов, гайдов и лучших практик (secure coding guidelines) для разработчиков
Требования
Опыт работы на позиции AppSec Engineer или пентестера веб-приложений от двух лет
Глубокое понимание OWASP Top 10, CWE Top 25, принципов построения веб-приложений и типовых уязвимостей
Опыт работы с одним или несколькими инструментами SAST, DAST, SCA (Burp Suite, OWASP ZAP и так далее)
Умение читать и понимать код на одном из языков программирования, например на Python, Go, Java, Java Script
Знание основных протоколов и технологий: HTTP/HTTPS, SSL/TLS, REST API, JSON Web Tokens (JWT)
Понимание принципов работы современных CI/CD-систем (GitLab CI, GitHub Actions, Jenkins)
Умение понятно объяснять сложные концепции безопасности разработчикам
Стремление автоматизировать рутину и постоянно учиться новому
Будет плюсом
Опыт проведения threat modeling
Навыки в области облачной безопасности
Знание контейнеризации (Docker, Kubernetes) и принципов DevSecOps
Наличие публичных работ (статьи, доклады, выводы CVE) или участие в программах Bug Bounty и конференциях
Соответствующие сертификации: OSCP, OSWE, GWEB, CSSLP и другие
Мы против мошенников на площадке: если тебя просят заплатить, продиктовать код или установить непонятное приложение, прекращай общение и сразу пиши нам (чат с основателем или форма обратной связи).