Ekspert ds. testów bezpieczeństwa (K/M)

Twój zakres obowiązków

• Przeprowadzanie testów bezpieczeństwa aplikacji webowych i API, od analizy architektury i definiowania zakresu, przez identyfikację i praktyczne wykorzystanie podatności, po budowę scenariuszy ataku odzwierciedlających realne zagrożenia
• Rozwijanie działań związanych z testowaniem bezpieczeństwa z wykorzystaniem modeli AI: projektowanie i wdrażanie procesów, w których modele wspierają kolejne etapy testów, w tym rekonesans, analizę kodu źródłowego, generowanie przypadków testowych i przetwarzanie wyników, a także testowanie nowych modeli pod kątem ich skuteczności w wyszukiwaniu podatności
• Rozwój narzędzi wewnętrznych: projektowanie, tworzenie i utrzymanie narzędzi wspierających oraz automatyzujących pracę zespołu na kolejnych etapach testów bezpieczeństwa
• Weryfikacja znalezisk i opracowywanie rekomendacji: potwierdzanie podatności zgłoszonych przez narzędzia, modele AI i członków zespołu, eliminacja wyników fałszywie pozytywnych, ocena ryzyka oraz przygotowywanie rekomendacji naprawczych dostosowanych do architektury testowanego systemu
• Wsparcie merytoryczne zespołu: konsultacje w złożonych przypadkach, recenzja raportów oraz mentoring
• Rozwój metodyki testów: opracowywanie podejścia do testowania nietypowych i nowych systemów oraz aktualizacja wewnętrznych standardów i procedur testowych
• Działalność badawcza: analiza nowych technik ataków, prowadzenie badań nad podatnościami, ich odpowiedzialne zgłaszanie oraz dzielenie się wynikami w formie publikacji i wystąpień.

Nasze wymagania

• Min. 7 lat doświadczenia w testach bezpieczeństwa aplikacji webowych i API, w tym min. 3 lata samodzielnego prowadzenia złożonych projektów (od ustalenia zakresu, przez realizację testów, po raport i prezentację wyników)
• Znajomość języka angielskiego na poziomie min. B2/C1
• Praktyczna znajomość metodyk i standardów: OWASP WSTG, OWASP ASVS, OWASP API Security Top 10
• Praktyczna znajomość technologii, m.in.: REST, GraphQL, WebSocket, architektura mikroserwisowa, aplikacje SPA
• Praktyczna znajomość mechanizmów uwierzytelniania i autoryzacji, m.in.: OAuth2, OpenID Connect, JWT, SAML, SSO
• Praktyczna znajomość Burp Suite Pro, w tym tworzenie własnych rozszerzeń
• Ekspercka znajomość testów aplikacji webowych i API
• Bardzo dobra umiejętność kompleksowego wyszukiwania i weryfikacji podatności w aplikacjach webowych i API, obejmująca wszystkie ich warstwy i klasy podatności, z wykorzystaniem technik manualnych oraz automatycznych
• Szczególny nacisk kładziony jest na obszary takie jak mechanizmy uwierzytelniania i autoryzacji oraz logika biznesowa. Punkt obejmuje także omijanie zabezpieczeń (np. WAF), łączenie podatności w realne scenariusze ataku oraz analizę kodu aplikacji pod kątem podatności
• Znajomość języka Python na poziomie umożliwiającym tworzenie własnych narzędzi do testów bezpieczeństwa
• Umiejętność tworzenia exploitów i PoC oraz skryptów automatyzujących testy i obsługę API
• Umiejętność przygotowywania i uruchamiania testów fuzzingowych
• Umiejętność tworzenie czytelnego kodu, możliwego do wykorzystania przez zespół
• Praktyczne wykorzystanie AI w testach bezpieczeństwa. Wykorzystywanie AI w codziennej pracy (rekonesans, analiza kodu, porządkowanie wyników skanów, raportowanie) wraz z krytyczną weryfikacją jej wyników
• Doświadczenie w samodzielnym projektowaniu zakresu i metodyki testów dla nietypowych lub nowych systemów
• Doświadczenie w ocenie ryzyka biznesowego oraz technicznego, umiejętność uzasadniania decyzji przed zleceniodawcami
• Gotowość do poddania się procedurze weryfikacyjnej upoważniającej do dostępu do informacji niejawnych o klauzuli poufne, zgodnie z przepisami ustawy o ochronie informacji niejawnych
• Przed nawiązaniem stosunku pracy, zgodnie z art. 26d ust. 1 ustawy o krajowym systemie cyberbezpieczeństwa, niezbędne będzie przedłożenie zaświadczenia z krajowego rejestru karnego (art. 265 – 269b) o niekaralności w zakresie przestępstw przeciwko ochronie informacji.

Mile widziane

• Udokumentowany dorobek w obszarze testów webowych, np. zgłoszone CVE, wysokie pozycje w programach bug bounty, publiczne write-upy, publikacje badawcze lub wystąpienia konferencyjne
• Certyfikaty z zakresu bezpieczeństwa ofensywnego, w szczególności webowe OSWE, BSCP, a także OSCP, OSEP
• Doświadczenie w testach bezpieczeństwa aplikacji mobilnych na co najmniej jednej platformie (Android lub iOS). Obejmuje analizę statyczną i dynamiczną aplikacji, reverse engineering oraz omijanie mechanizmów zabezpieczeń
• Znajomość standardów: OWASP MASVS, OWASP MASTG
• Znajomość technologii: Android, iOS
• Znajomość narzędzi: Frida, Ghidra, IDA
• Doświadczenie w testach bezpieczeństwa infrastruktury IT i środowisk chmurowych
• Doświadczenie w wyszukiwaniu podatności w systemach i sieciach, eskalacji uprawnień, testowaniu scenariuszy przejęcia domeny Active Directory. W chmurze także umiejętność oceny konfiguracji uprawnień i dostępności zasobów
• Znajomość technologii: Windows, Linux, Active Directory, AWS, Azure lub GCP, Docker, Kubernetes
• Kompetencje w obszarze AI. Tworzenie własnych narzędzi, w tym opartych na AI, np. do automatycznego triage'u podatności lub generowania raportów
• Znajomość bezpieczeństwa systemów AI, w tym typowych ataków na aplikacje oparte na AI (chatboty, asystenci, agenci AI), takich jak prompt injection, wyciek danych czy wymuszanie niebezpiecznych akcji agenta

Benefity

• dofinansowanie zajęć sportowych
• prywatna opieka medyczna
• dofinansowanie nauki języków
• dofinansowanie szkoleń i kursów
• ubezpieczenie na życie
• elastyczny czas pracy
• owoce
• spotkania integracyjne
• preferencyjne pożyczki
• firmowa biblioteka
• brak dress code’u
• kawa / herbata
• dodatkowe świadczenia socjalne
• dofinansowanie biletów do kina, teatru
• dofinansowanie wypoczynku

NASK