Наша команда занимается обеспечением безопасности цифровых продуктов и сервисов, которые позволяют пользователям VK легко и безопасно взаимодействовать с экосистемой. Мы развиваем инструменты, которые обеспечивают защиту данных, предотвращают угрозы и укрепляют доверие пользователей к нашим сервисам.

В центре внимания — постоянное взаимодействие с разработчиками, тестировщиками, архитекторами и другими специалистами, чтобы интегрировать безопасность на всех этапах жизненного цикла продукта.

Задачи

- Анализ защищённости веб приложений/сервисов

- Анализ безопасности кода, бизнес-логики приложений

- Проведение security review спецификаций

- Разработка требований ИБ

- Моделирование угроз ИБ

- Консультирование разработчиков

- Разработка рекомендаций по безопасному программированию

- Триаж уязвимостей Bug Bounty

- Контроль устранения уязвимостей

- Внесение предложений по улучшению процессов обеспечения безопасности

Требования

- Опыт работы в Application Security — от двух лет

- Опыт поиска логических уязвимостей в веб-приложениях и сервисах

- Понимание протоколов аутентификации и авторизации

- Понимание векторов атак на клиентскую и серверную стороны интернет-сервисов

- Умение находить причины появления уязвимостей и планировать их устранение

- Опыт работы в команде и взаимодействия со смежными направлениями IT

- Знание микросервисной архитектуры и способов обеспечения безопасности в таких системах

- Опыт анализа защищённости веб-приложений с использованием методов Black Box, White Box и Grey Box

- Понимание концепции DevSecOps и интеграции безопасности в цикл SSDLC

- Умение читать и анализировать код на языке программирования (желательно Go или C)

- Знание Bash, Python или других средств автоматизации

Будет плюсом

- Знание векторов атак и методов защиты мобильных приложений Android и iOS

- Опыт поиска уязвимостей в рамках программ Bug Bounty или регистрации CVE

- Участие в соревнованиях по информационной безопасности (CTF)

- Опыт выступлений на профильных конференциях или публикаций статей по теме

- Наличие сертификатов в области безопасности (например, OSCP, OSWE)