Senior Application Security Engineer

Sardine принимает решения о рисках и платежах для банков и финтех-компаний. Наши клиенты тщательно нас проверяют, и безопасность приложений — значительная часть того, что они изучают.

Через эту платформу проходят деньги, поэтому её изучают настоящие злоумышленники. Ваша задача — находить то, что нашли бы они, прежде всего уязвимости авторизации и злоупотребления бизнес-логикой, а затем устранять целый класс таких ошибок.

Команда безопасности приложений небольшая. Инфраструктура большая: сервисы на Go, Node.js, Python, Ruby и Java, работающие в мультиоблаке и на Kubernetes. Это соотношение определяет характер работы. Находки поступают от сканеров, из код-ревью, тестирования, моделирования угроз, от пентестеров и охотников за уязвимостями по bug bounty. Вы превращаете этот поток в конвейер, который проверяет, маршрутизирует и закрывает проблемы с минимальными ручными усилиями. Затем вы используете то, что показывает конвейер, чтобы устранять первопричины: безопасные настройки по умолчанию, паттерны, к которым инженеры обращаются в первую очередь, и исправления, которые работают надолго.

Здесь мало что решено заранее. Вы сами определяете, где находится риск, и беретесь за него.

Управление конвейером уязвимостей и его автоматизация

• Проводить триаж, валидацию и маршрутизацию находок из всех источников, а также добиваться их устранения: SAST, DAST, SCA, код-ревью, пентесты и bug bounty
• Создавать автоматизацию, которая убирает ручную работу на каждом из этих шагов
• Внешние пентесты и программа bug bounty: определять объём, направлять тестировщиков, оценивать критичность и доводить вопросы до закрытия

Устранение классов ошибок

• Замечать закономерности среди находок и устранять первопричину, а не только отдельный случай
• Определять безопасные паттерны и настройки по умолчанию, благодаря которым правильный путь становится самым простым
• Писать собственные правила статического анализа для наших антипаттернов, чтобы исправленный класс ошибок оставался исправленным
• Проверять средства контроля на уровне платформы (авторизация, идентификация сервисов, работа с секретами, применение политик на шлюзе), находить пробелы и добиваться от ответственных команд их закрытия
• Работать вместе с инженерами над исправлениями, которые просты, принимаются и работают надолго

Также входит в работу

• Практическое тестирование наших приложений и API, а также ручное код-ревью сервисов с высокой степенью экспозиции, с глубоким погружением в авторизацию и бизнес-логику
• Моделирование угроз для новых архитектур и архитектур с высокой экспозицией
• Развитие культуры безопасности в инженерной команде, включая программу security champions

• Управление уязвимостями и его автоматизация. Опыт ведения управления уязвимостями от начала до конца и автоматизации его с помощью кода через API сканеров, трекеров задач и систем контроля версий
• Инженерный бэкграунд. Вы выпускали и поддерживали настоящее программное обеспечение. Вы быстро читаете незнакомый код, тщательно проверяете его и рассуждаете об архитектуре и сценариях отказов.
• Ответственность до результата. Вы доводите проблемы до конца, включая исправления, зависящие от других команд. Вы возвращаетесь к исправлению, которое рекомендовали три спринта назад.
• Суждение важнее стажа. Для нас глубина вашего суждения важнее лет опыта.
• Аудит кода как минимум на одном из языков: Go, Python, Node.js, Ruby или Java, и готовность работать с остальными
• Практическое владение OWASP Top 10 с настоящей глубиной в области нарушенного контроля доступа и ошибок бизнес-логики
• SAST, DAST и SCA в CI/CD, настроенные так, чтобы инженеры доверяли результатам. Базовые знания облаков на GCP или AWS. Docker и Kubernetes.
• Вы отличаете реальные находки от теоретических.
• Вы открыто возражаете, подкрепляя свою позицию доказательствами, и меняете мнение, когда кто-то приводит более весомые доказательства.
• Ваше влияние работает асинхронно, через часовые пояса, на людей с твёрдым мнением, которые не подчиняются вам напрямую.

• Масштабирование инструментов безопасности на множество репозиториев, языков и систем сборки
• Опыт написания собственных правил статического анализа (Semgrep, CodeQL или аналоги)
• Работа в финтехе, платежах или других средах под серьёзной сторонней проверкой безопасности (PCI DSS, SOC 2, аудиты клиентов)
• Опыт работы в полностью распределённой асинхронной инженерной команде
• Опыт в наступательной безопасности в любой форме. Наиболее релевантен пентест веб-приложений, API, мобильных приложений или облаков. Также учитываются работа с оборудованием и встраиваемыми системами, физическая безопасность и lock sport, учения red team, работа с протоколами и радиосвязью, а также результаты в CTF или bug bounty.
• Продвинутые сертификации по наступательной безопасности. Наиболее релевантны OSWE и BSCP; CPTS, CRTO и аналогичные также учитываются.
• Публичные работы: исследования, инструменты, раскрытие уязвимостей, выступления

• Щедрая компенсация деньгами и опционами
• Ранний exercise для всех опционов, включая ещё не вестнутые
• Работа из любой точки: культура remote-first
• Гибкий оплачиваемый отпуск и перерыв в конце года
• Медицинская, стоматологическая страховка и страховка зрения для сотрудников и иждивенцев — только для США и Канады
• Софинансирование 401k / RRSP в размере 4% — только для США и Канады
• MacBook Pro с доставкой на дом
• Единовременная выплата на обустройство домашнего офиса — стол, кресло, монитор и т. д.
• Ежемесячная выплата на питание
• Ежемесячная выплата на социальные встречи
• Ежегодная выплата на здоровье и благополучие
• Ежегодная выплата на обучение