Главный специалист Offensive Application Security

KMF Банк·Алматы·3 окт.

Главный специалист Offensive Application Security

Ориентир по рынку≈ 110 000 – 250 000 ₽наша приблизительная оценка по 38 вакансиям этой роли и грейда, у работодателя вилка не указана

🏢 ОфисMiddleПолная занятость

≈ 110 000 – 250 000 ₽наша приблизительная оценка

Стоит ли откликаться

Стоит откликнуться, но спросите про деньги

Сумму в объявлении не указали. Сколько платят за похожую работу, видно в разборе. Вакансия живая, задачи расписаны.

3 из 4 в норме

Зарплата не указана: ваша цель, нижняя граница и фраза для первого созвона

Деньги

Сумму в объявлении не указали. Ориентир на созвон: столько платят в 38 похожих вакансиях Менеджер уровня Middle.

платят меньше110 000 – 250 000 ₽ у половины таких вакансийплатят больше

Вилки нет

Живость

Висит 16 дней, признаков фиктивного найма нет. Повторных публикаций не было.

Живая

Описание

Расписано подробно: обязанностей 13, требований 20. Картина ясна до первого созвона.

Обещают: официальное оформление и ДМС
Известно: график 08:30-17:30 и испытательный срок
Не сказано: условия испытательного срока

Подробно

Что требуют

ОбязательноKubernetesLLMGoPythonJavaScriptTypeScriptJavaC#KotlinSwift

Надбавка к зарплате на этом уровне: Python +40%.

Ясно

Полный разбор в Pro

Это короткий разбор. В Pro полный: под эту вакансию и ваше резюме

Сколько просить

Не продешевите: сумма под ваше резюме, нижняя граница и готовые фразы для торга

Ваше резюме против требований

Пройдёт ли ваше резюме фильтр: что совпало с требованиями и что дописать до отклика

Спросить у работодателя

Что стоит спросить: вопросы именно к этой вакансии для первого созвона

Когда откликаться

Стоит ли спешить: за сколько дней эта компания обычно закрывает вакансии

30 дней Pro: полный разбор каждой вакансииЧто ещё входит в Pro

Чем предстоит заниматься

Проводить ручной анализ защищённости веб-приложений и API, включая проверку клиентской и серверной части и т.д.

Проводить ручной анализ исходного кода, определять причины возникновения уязвимостей и выявлять аналогичные проблемы в других компонентах продукта

Оценивать критичность уязвимостей с учётом подтверждённого воздействия

Документировать результаты анализа, включая описание уязвимости, условия и способ эксплуатации, PoC или эксплойт

Взаимодействовать с командами разработки, QA, DevOps и DevSecOps при устранении уязвимостей, объяснять причины проблем и согласовывать способы исправления и проверки

Анализировать архитектуру приложений и сервисов, участвовать в моделировании угроз и выявлении возможных сценариев атак на этапах проектирования и разработки

Валидировать и проводить триаж результатов SAST, SCA, DAST, Secret Scanning и других автоматизированных проверок безопасности

Разрабатывать и совершенствовать правила SAST, сценарии DAST и другие автоматизированные проверки безопасности

Оказывать консультации специалистам SOC при расследовании инцидентов

Разрабатывать и совершенствовать методики анализа защищённости, требования безопасной разработки, а также участвовать в развитии AppSec и DevSecOps-процессов

Участвовать в анализе защищённости контейнерных сред и Kubernetes в рамках своей компетенции

Участвовать в анализе защищённости LLM-приложений и AI-агентов Банка в рамках своей компетенции

Участвовать в мероприятиях Red Team и Purple Team, а также в киберучениях Банка

Наши требования

Участие в bug bounty, профильных CTF, security research или программах ответственного раскрытия уязвимостей

Опыт разработки собственных инструментов безопасности, правил детектирования или open source-проектов

Наличие технических статей, исследований, докладов или выступлений на профильных мероприятиях

Практические сертификации: BSCP, OSWA, OSWE, CWES, CWEE, OSCP, CPTS или аналогичные

Навыки эксплуатации уязвимостей, разработки PoC, эксплойтов и построения цепочек атак

Умение доказать реальное воздействие уязвимости веб-приложения или API, включая возможный доступ к внутренней инфраструктуре, воздействие на пользователей, компрометацию данных или другие значимые последствия

Глубокое понимание механизмов безопасности браузера и способов их обхода

Понимание безопасности аутентификации и авторизации в API, управления сессиями и токенами, а также способов обхода контроля доступа

Опыт ручного анализа исходного кода на наличие уязвимостей, в том числе относящихся к OWASP Top 10, OWASP API Security Top 10 и CWE Top 25, а также понимание причин их возникновения и способов устранения или митигации

Опыт практического применения OWASP ASVS, OWASP WSTG и PTES при планировании и проведении анализа защищённости

Владение одним из языков программирования на уровне, достаточном для анализа исходного кода, разработки PoC и вспомогательного инструментария: Go, Python, JavaScript/TypeScript, Java, C#, Kotlin, Swift или аналогичным языком

Понимание SDLC и процессов работы с уязвимостями: от выявления и триажа до устранения и повторной проверки

Опыт работы с SAST, SCA, DAST, Secret Scanning или другими AppSec-инструментами, включая валидацию и триаж находок

Опыт разработки правил SAST, сценариев DAST и других автоматизированных проверок безопасности

Опыт анализа архитектуры и моделирования угроз с использованием STRIDE, attack trees, abuse cases или аналогичных подходов

Умение понятно объяснять разработчикам и QA причины уязвимостей, способы их устранения и проверки исправлений

Опыт анализа защищённости мобильных приложений Android и iOS с применением OWASP MASVS и OWASP MASTG

Опыт анализа защищённости контейнерных сред и Kubernetes с использованием OWASP Kubernetes Top 10, MITRE ATT&CK Containers Matrix и NSA/CISA Kubernetes Hardening Guide

Опыт использования LLM и AI-агентов для Offensive Security, анализа кода и автоматизации задач безопасности

Опыт анализа безопасности LLM-приложений и AI-агентов, включая AI Red Teaming