Penetration Tester (Cybersecurity)

Локация: Санкт-Петербург; доступны удалённый, офисный и гибридный форматы работы. Возможен релокейт между офисами в Москве, Санкт-Петербурге, Казани и Самаре.

Компания

Aston — аккредитованная аутсорсинговая IT-компания, работающая с 2007 года и объединяющая более 2500 специалистов. Компания разрабатывает программное обеспечение и IT-решения для Finance, Healthcare, eCommerce, IoT, Media, Big Data и ML.

Что делать

• Проводить penetration testing веб-приложений, API и мобильных приложений.
• Исследовать сетевой трафик, уязвимости, сторонние библиотеки, драйверы, firmware и вложенные файловые системы.
• Выполнять реверс-инжиниринг и binary exploitation, включая buffer overflow, ROP, use-after-free и heap exploitation.
• Выстраивать процесс тестирования по фазам PTES и использовать сканеры уязвимостей, Metasploit, Burp Suite Professional и ZAP.
• Готовить информативные отчёты для технической и executive-аудитории и объяснять сложные технические находки разработчикам и руководителям.

Требования

• Опыт работы в роли Penetration Tester от 4 лет; общий требуемый опыт — от 3 до 6 лет.
• Знание основных типов уязвимостей и методов их эксплуатации, классификаций NIST и БДУ, а также OWASP Top 10 для Web, API, Mobile и LLM.
• Опыт тестирования веб-приложений и API с Burp Suite Professional и ZAP.
• Опыт статического и динамического анализа Android-приложений с APKTool, Jadx и Android Studio, включая получение root/jailbreak на мобильных устройствах.
• Опыт работы с Wireshark, tcpdump, Metasploit Framework и сканерами уязвимостей Acunetix, MaxPatrol и Security Vision.
• Опыт реверс-инжиниринга с IDA Pro, Ghidra или Binary Ninja, binary exploitation, анализа драйверов Windows/Linux и firmware.
• Знания в криптографии, включая алгоритмы, типовые ошибки и side-channel attacks; опыт анализа сторонних библиотек с Dependency-Check, Snyk, Mend или Black Duck.
• Понимание Threat Modeling, включая STRIDE и PASTA.
• Английский язык — Upper-Intermediate и выше для чтения документации, CVE и отчётов.

Хорошо, если есть

• Знания Kubernetes security, Docker security и cloud security для Yandex, VK или Mail.
• Опыт эксплуатации и защиты Active Directory, Windows/Linux hardening, работы с Python, Bash или PowerShell.
• Опыт разработки эксплойтов, работы с C2-фреймворками и Red-team техниками.
• Участие в CTF, Red Team и bug bounty-программах.
• Сертификаты OSCP, OSWE, OSEP, OSED, eJPT, eWPT, CREST, CISSP или CISM.

Культура и преимущества

• Полная занятость и долгосрочные проекты от российских заказчиков; возможность менять направления.
• Прозрачная система Performance Review, корпоративный портал, митапы и конференции.
• ДМС со стоматологией, частичная компенсация спорта, бесплатный английский, оплачиваемый отпуск и больничные.
• Доплаты за менторство и профессиональные активности; уровень зарплаты обсуждается индивидуально.
• Адаптация для новых сотрудников, тимбилдинги, детские праздники и внутренние мероприятия.

Процесс найма

• После отклика рекрутер свяжется с кандидатом для обсуждения деталей.