Главный инженер отдела контроля защищенности управления технической экспертизы. в Азиатско Тихоокеанский Банк Москва

Участие в процессе контроля уязвимостей;

Проведение тестирования на проникновение веб-приложений и программных интерфейсов (API) внешнего и внутреннего периметра;

Формирование и развитие методологии тестирования, стандартов проведения работ и требований к отчётности;

Разработка рекомендаций и контроль устранения выявленных уязвимостей;

Написание отчётной документации по итогам проведённых работ.

Обладание глубокими, фундаментальными знаниями в области ИБ;

Опыт практического тестирования на проникновение веб-приложений от 3 лет, в том числе в роли ведущего специалиста по проектам;

Глубокое знание OWASP Top 10, методологии OWASP WSTG, стандарта верификации OWASP ASVS;

Способность самостоятельно определять методологию и объём работ исходя из специфики тестируемой системы;

Опыт выявления и эксплуатации основных классов веб-уязвимостей: инъекции (SQL, командные, SSTI), XSS, SSRF, IDOR/BOLA, XXE, небезопасная десериализация, недостатки аутентификации и управления сессиями, LFI/RFI, логические уязвимости (обход бизнес-логики, манипуляции с финансовыми операциями, состояния гонки);

Уверенное владение Burp Suite, включая разработку расширений;

Понимание принципов работы веб-технологий: HTTP(S), TLS, управление сессиями, CORS, CSP, JWT, OAuth 2.0 / OpenID Connect, SAML;

Навыки анализа исходного кода (PHP, Java, JavaScript, Python) для выявления уязвимостей; Навыки разработки скриптов автоматизации на Python и (или) Bash