Application Security Engineer

Описание

Яндекс Еда ищет инженера по безопасности, который поможет делать сервисы защищённее. Вам предстоит погружаться в архитектуру продукта, участвовать в процессах безопасности с ранних этапов разработки и помогать командам обеспечивать безопасность пользовательских данных.

Обязанности

• Выявлять уязвимости в исходном коде, API, мобильных и веб-приложениях
• Проводить архитектурные ревью новых сервисов и фич
• Проводить внутренние аудиты продуктов и сопровождать внешние
• Консультировать команды Яндекс Еды по безопасной разработке, хранению и обработке данных
• Согласовывать критичные изменения в коде и инфраструктуре
• Разбирать выявленные уязвимости с разработчиками, определять их причины и находить оптимальные способы устранения
• Внедрять и использовать DevSecOps-инструменты
• Автоматизировать задачи по безопасности
• Улучшать существующие инструменты и процессы или создавать новые
• Участвовать в проектах и инициативах, которые улучшают безопасность всего Яндекса

Требования

• Опыт анализа защищённости веб-приложений
• Интерес к безопасному циклу разработки приложений (SDLC) и анализу безопасности программного кода
• Умение читать код и находить в нём уязвимости
• Умение определять корневую причину возникновения уязвимости, создавать PoC и предлагать меры снижения рисков
• Понимание устройства *nix-систем и систем контейнеризации
• Умение автоматизировать работу с помощью Golang или Python
• Способность аргументированно обсуждать риски и способы их устранения с командами разработки

Будет плюсом

• Опыт проведения архитектурных ревью и анализа рисков безопасности
• Опыт работы с SAST, DAST, IAST, SCA и другими инструментами безопасной разработки
• Опыт обеспечения безопасности Docker, Kubernetes или Linux
• Участие в Bug Bounty
• Наличие собственных CVE, наработок и достижений в области безопасности мобильных и веб-приложений
• Участие в CTF-соревнованиях или организация их