Senior Pentester (Web)

Локация: Full remote или гибридный офис; работа из любой страны с удобным часовым поясом. Для сотрудников в Москве доступен офис.

Компания

Распределенная команда DatsTeam из более чем 800 специалистов с 2012 года разрабатывает рекламные платформы, игровые сервисы и платформы, мобильные игровые приложения, финтех-продукты и решения.

Что делать

• Проводить ручные пентесты веб-приложений и API в форматах black-box, grey-box и white-box.
• Тестировать безопасность AI/LLM-функциональности, включая Prompt Injection, Data Leakage, RAG, MCP и Agentic AI по сценариям OWASP Top 10 for LLM.
• Проверять аутентификацию, авторизацию, контроль доступа и multi-tenancy, выявлять технические и бизнес-логические уязвимости.
• Анализировать клиентскую и серверную части, зависимости, Software Supply Chain и исходный код; строить сложные цепочки атак.
• Разрабатывать offensive-инструменты, PoC, расширения Burp Suite и автоматизацию на Python/JavaScript.
• Готовить технические отчеты, проводить ретесты, участвовать в Threat Modeling и Security Architecture Review; Purple Team — по желанию.

Требования

• От 4–5 лет практического опыта ручного пентеста веб-приложений и API, при общем опыте более 6 лет; уверенное владение методиками black-box, grey-box и white-box.
• Глубокое понимание OWASP Top 10 и практический опыт эксплуатации XSS, SSRF, SSTI, SQL/NoSQL Injection, XXE, Deserialization, CSRF, CORS, Prototype Pollution, Path Traversal и других уязвимостей.
• Опыт тестирования REST, GraphQL, gRPC и WebSocket API, поиска бизнес-логических уязвимостей и обхода механизмов защиты.
• Практический опыт анализа OAuth 2.0, OIDC, SAML, JWT, SSO и MFA, включая поиск ошибок реализации.
• Экспертное владение Burp Suite Professional.
• Уверенное знание Python и JavaScript/TypeScript для разработки PoC, эксплойтов и автоматизации тестирования.
• Опыт Security Research и анализа современных фреймворков и архитектур, включая React, Angular, Vue, Spring, .NET, Node.js и Go.

Хорошо, если есть

• Опыт разработки собственных расширений Burp Suite.
• Опыт тестирования AI/LLM-приложений, участия в Threat Modeling, Security Architecture Review или Purple Team.

Культура и преимущества

• Проектно-ориентированный подход, матричная структура, работа в SCRUM и Agile.
• Full remote или гибридный формат, гибкое начало рабочего дня с 9:00 до 11:00 по МСК и 8-часовой рабочий день.
• Несколько вариантов оформления и способов выплат.
• Оборудование на выбор с доставкой на дом.
• Performance review, внутренняя Академия и партнерские программы для непрерывного обучения.
• Технические сообщества, митапы, co-working дни, онлайн- и офлайн-турниры, тимбилдинги и встречи.