Не получаете ответ?
Вакансия опубликована 7 дн. назад - шансы на ответ снижаются.
Мэтч & Сопровод
Покажет вашу совместимость и напишет письмо
Описание вакансии
Текст:
TL;DR
Senior Pentester (Web) (Web/API Security и AI/LLM): Проведение ручных пентестов веб-приложений и API, включая REST, GraphQL, gRPC и WebSocket, с акцентом на поиск сложных технических, бизнес-логических и AI/LLM-уязвимостей. Focus on анализ аутентификации и авторизации, построение цепочек атак, разработку offensive-инструментария и автоматизацию на Python и JavaScript.
Локация: удалённо из любой страны или гибридный офис; требуется удобный часовой пояс для работы с графиком по МСК. Для специалистов в Москве доступен офис.
Компания
Распределенная команда из более чем 800 специалистов разрабатывает рекламные платформы, игровые и мобильные игровые сервисы, финтех-продукты и другие собственные решения с 2012 года.
Что делать
- Проводить ручные пентесты веб-приложений и API в форматах black-box, grey-box и white-box, включая REST, GraphQL, gRPC и WebSocket.
- Тестировать безопасность AI/LLM-функциональности, включая Prompt Injection, Data Leakage, RAG, MCP и Agentic AI по OWASP Top 10 for LLM.
- Анализировать аутентификацию, авторизацию, контроль доступа и multi-tenancy, а также находить технические и бизнес-логические уязвимости.
- Исследовать клиентскую и серверную части, зависимости, Software Supply Chain и исходный код; строить сложные цепочки атак.
- Разрабатывать offensive-инструменты, PoC, расширения Burp Suite и средства автоматизации на Python и JavaScript.
- Готовить технические отчеты, проводить ретесты и участвовать в Threat Modeling, Security Architecture Review и Purple Team-активностях.
Требования
- 4–5 лет опыта ручного пентеста веб-приложений и API; уверенное владение методиками black-box, grey-box и white-box.
- Глубокое знание OWASP Top 10 и практический опыт эксплуатации XSS, SSRF, SSTI, SQL/NoSQL Injection, XXE, Deserialization, CSRF, CORS, Prototype Pollution и Path Traversal.
- Опыт тестирования REST, GraphQL, gRPC и WebSocket API, поиска бизнес-логических уязвимостей и обхода механизмов защиты.
- Опыт анализа OAuth 2.0, OIDC, SAML, JWT, SSO и MFA, включая поиск ошибок реализации.
- Экспертное владение Burp Suite Professional, а также уверенное знание Python и JavaScript/TypeScript для разработки PoC, эксплойтов и автоматизации.
- Опыт Security Research и анализа современных фреймворков и архитектур, включая React, Angular, Vue, Spring, .NET, Node.js и Go.
Хорошо, если есть
- Опыт тестирования AI/LLM-приложений.
- Опыт разработки собственных расширений Burp Suite.
- Участие в Threat Modeling, Security Architecture Review или Purple Team.
Культура и преимущества
- Проектно-ориентированная работа, матричная структура и командное взаимодействие по Scrum и Agile.
- Full remote или гибридный формат с возможностью работать из любой страны.
- Гибкий график: начало рабочего дня с 9:00 до 11:00 по МСК и 8-часовой рабочий день.
- Несколько вариантов оформления и способов выплат, оборудование с доставкой на дом.
- Performance review, внутренняя Академия, партнерские образовательные программы, тех-комьюнити и митапы.
- Онлайн- и офлайн-турниры, co-working-дни, тимбилдинги и локальные встречи для удаленных специалистов.
Будьте осторожны: если работодатель просит войти в их систему, используя iCloud/Google, прислать код/пароль, запустить код/ПО, не делайте этого - это мошенники. Обязательно жмите "Пожаловаться" или пишите в поддержку. Подробнее в гайде →