Ekspert ds. testów bezpieczeństwa (K/M)

- 15 000 - 20 000 brutto + premia kwartalna + możliwość ubiegania się o dodatek teleinformatyczny

Warszawa
- umowa o pracę
- pełen etat
- ekspert
- hybrydowa

CERT Polska to pierwszy powstały w Polsce zespół reagowania na incydenty. Dzięki prężnej działalności od 1996 roku w środowisku zespołów reagujących, stał się rozpoznawalnym i doświadczonym podmiotem w dziedzinie bezpieczeństwa.

Zespół Testów Bezpieczeństwa realizuje testy systemów wewnętrznych oraz projektów open source, ze szczególnym naciskiem na aplikacje webowe i API. Rosnąca złożoność tych systemów, w tym wykorzystanie w nich rozwiązań opartych na sztucznej inteligencji, powoduje, że zespół rośnie i w związku z tym poszukujemy kolejnych ekspertów, którzy będą realizować z nami misję NASK-PIB.

Aplikuj teraz

Twój zakres obowiązków:

Przeprowadzanie testów bezpieczeństwa aplikacji webowych i API, od analizy architektury i definiowania zakresu, przez identyfikację i praktyczne wykorzystanie podatności, po budowę scenariuszy ataku odzwierciedlających realne zagrożenia
Rozwijanie działań związanych z testowaniem bezpieczeństwa z wykorzystaniem modeli AI: projektowanie i wdrażanie procesów, w których modele wspierają kolejne etapy testów, w tym rekonesans, analizę kodu źródłowego, generowanie przypadków testowych i przetwarzanie wyników, a także testowanie nowych modeli pod kątem ich skuteczności w wyszukiwaniu podatności
Rozwój narzędzi wewnętrznych: projektowanie, tworzenie i utrzymanie narzędzi wspierających oraz automatyzujących pracę zespołu na kolejnych etapach testów bezpieczeństwa
Weryfikacja znalezisk i opracowywanie rekomendacji: potwierdzanie podatności zgłoszonych przez narzędzia, modele AI i członków zespołu, eliminacja wyników fałszywie pozytywnych, ocena ryzyka oraz przygotowywanie rekomendacji naprawczych dostosowanych do architektury testowanego systemu
Wsparcie merytoryczne zespołu: konsultacje w złożonych przypadkach, recenzja raportów oraz mentoring
Rozwój metodyki testów: opracowywanie podejścia do testowania nietypowych i nowych systemów oraz aktualizacja wewnętrznych standardów i procedur testowych
Działalność badawcza: analiza nowych technik ataków, prowadzenie badań nad podatnościami, ich odpowiedzialne zgłaszanie oraz dzielenie się wynikami w formie publikacji i wystąpień.

Nasze wymagania:

Min. 7 lat doświadczenia w testach bezpieczeństwa aplikacji webowych i API, w tym min. 3 lata samodzielnego prowadzenia złożonych projektów (od ustalenia zakresu, przez realizację testów, po raport i prezentację wyników)
Znajomość języka angielskiego na poziomie min. B2/C1
Praktyczna znajomość metodyk i standardów: OWASP WSTG, OWASP ASVS, OWASP API Security Top 10
Praktyczna znajomość technologii, m.in.: REST, GraphQL, WebSocket, architektura mikroserwisowa, aplikacje SPA
Praktyczna znajomość mechanizmów uwierzytelniania i autoryzacji, m.in.: OAuth2, OpenID Connect, JWT, SAML, SSO
Praktyczna znajomość Burp Suite Pro, w tym tworzenie własnych rozszerzeń
Ekspercka znajomość testów aplikacji webowych i API
Bardzo dobra umiejętność kompleksowego wyszukiwania i weryfikacji podatności w aplikacjach webowych i API, obejmująca wszystkie ich warstwy i klasy podatności, z wykorzystaniem technik manualnych oraz automatycznych
Szczególny nacisk kładziony jest na obszary takie jak mechanizmy uwierzytelniania i autoryzacji oraz logika biznesowa. Punkt obejmuje także omijanie zabezpieczeń (np. WAF), łączenie podatności w realne scenariusze ataku oraz analizę kodu aplikacji pod kątem podatności
Znajomość języka Python na poziomie umożliwiającym tworzenie własnych narzędzi do testów bezpieczeństwa
Umiejętność tworzenia exploitów i PoC oraz skryptów automatyzujących testy i obsługę API
Umiejętność przygotowywania i uruchamiania testów fuzzingowych
Umiejętność tworzenie czytelnego kodu, możliwego do wykorzystania przez zespół
Praktyczne wykorzystanie AI w testach bezpieczeństwa. Wykorzystywanie AI w codziennej pracy (rekonesans, analiza kodu, porządkowanie wyników skanów, raportowanie) wraz z krytyczną weryfikacją jej wyników
Doświadczenie w samodzielnym projektowaniu zakresu i metodyki testów dla nietypowych lub nowych systemów
Doświadczenie w ocenie ryzyka biznesowego oraz technicznego, umiejętność uzasadniania decyzji przed zleceniodawcami

Mile widziane:

Udokumentowany dorobek w obszarze testów webowych, np. zgłoszone CVE, wysokie pozycje w programach bug bounty, publiczne write-upy, publikacje badawcze lub wystąpienia konferencyjne
Certyfikaty z zakresu bezpieczeństwa ofensywnego, w szczególności webowe OSWE, BSCP, a także OSCP, OSEP
Doświadczenie w testach bezpieczeństwa aplikacji mobilnych na co najmniej jednej platformie (Android lub iOS). Obejmuje analizę statyczną i dynamiczną aplikacji, reverse engineering oraz omijanie mechanizmów zabezpieczeń
Znajomość standardów: OWASP MASVS, OWASP MASTG
Znajomość technologie: Android, iOS
Znajomość narzędzi: Frida, Ghidra, IDA
Doświadczenie w testach bezpieczeństwa infrastruktury IT i środowisk chmurowych
Doświadczenie w wyszukiwaniu podatności w systemach i sieciach, eskalacji uprawnień, testowaniu scenariuszy przejęcia domeny Active Directory. W chmurze także umiejętność oceny konfiguracji uprawnień i dostępności zasobów
Znajomość technologii: Windows, Linux, Active Directory, AWS, Azure lub GCP, Docker, Kubernetes
Kompetencje w obszarze AI. Tworzenie własnych narzędzi, w tym opartych na AI, np. do automatycznego triage'u podatności lub generowania raportów
Znajomość bezpieczeństwa systemów AI, w tym typowych ataków na aplikacje oparte na AI (chatboty, asystenci, agenci AI), takich jak prompt injection, wyciek danych czy wymuszanie niebezpiecznych akcji agenta

Benefity

Zapewniamy dobre warunki pracy

O właściwych ludzi trzeba odpowiednio dbać. Dlatego oferujemy cały szereg dodatkowych korzyści. Od szkoleń i kursów zawodowych, poprzez zajęcia z jogi i owocowe czwartki, po dofinansowaną kartę Multisport albo zwrot za bilety do kina czy teatru. To wszystko jest jednak dodatkiem do tego, że po prostu dobrze się z nami pracuje.