Offensive Security Engineer

О команде

Команда Security отвечает за предоставление ключевых возможностей безопасности, охватывающих безопасность приложений, облака и предприятия, реагирование на инциденты, обнаружение и GRC. Мы ищем опытного практикующего специалиста по безопасности, который будет продвигать внедрение современных процессов и инструментов безопасности, сосредотачивая внимание на поддержке наших инженерных и продуктовых команд в повышении уровня безопасности наших платформ и сервисов.

• Выявлять пробелы в безопасности и уязвимости во всех предложениях ClickHouse, триажировать широкий спектр уязвимостей, сообщаемых через нашу программу bug bounty, ответственное раскрытие, GitHub Issues, охватывающие веб, API и сервер‑клиентские активы, включая низкоуровневые проблемы памяти, такие как heap‑или buffer‑overflows

• Улучшать и развивать мероприятия по обеспечению безопасности — pentests, оценка уязвимостей, программы bug bounty, fuzzing

• Планировать и проводить внутренние red team‑оценки и тесты на проникновение против инфраструктуры ClickHouse, облачных сред, разрабатывая реалистичные сценарии противника для проверки эффективности обнаружения, реагирования и контроля

• Оценивать поверхность атак, специфичную для AI/LLM, в собственных AI‑функциях ClickHouse и внутреннем AI‑инструментарии, включая внедрение подсказок, эксфильтрацию моделей/данных и небезопасные паттерны использования агентных инструментов

• Создавать и эксплуатировать агентные инструменты для разведки, цепочки эксплойтов и обнаружения путей атаки, а также применять LLM‑ассистированный fuzzing для ускорения обнаружения уязвимостей в продуктах и инфраструктуре ClickHouse

• Сотрудничать с командой detection engineering для валидации и улучшения охвата обнаружения во время red team‑упражнений, измеряя и отчитываясь о эффективности контроля и времени до обнаружения/реагирования

• Обрабатывать события и инциденты информационной безопасности в продуктах и сервисах ClickHouse

• Разрабатывать процессы, инструменты и автоматизацию для масштабирования процессов безопасности и снижения рисков для бизнеса

• 7+ лет опыта в pentesting, red teaming и безопасности продуктов

• Опыт поддержки инженерных и продуктовых внедрений посредством проведения оценок угроз, мероприятий по обеспечению, консультирования, а в некоторых случаях реализации в распределённых системах, охватывающих веб, API, клиент‑серверные активы

• Практический опыт проведения offensive security‑мероприятий — внутренний red teaming, тесты на проникновение и симуляции противника — в облачных, сетевых и прикладных средах

• Способность разрабатывать сценарии противника, основанные на реальной разведке угроз (например, операторы ransomware, атакующие цепочки поставок, внутренние угрозы), адаптированные к профилю риска ClickHouse как многопользовательской облачной платформы данных

• Сильные навыки письменного и устного общения, способность переводить цепочки атак в чёткие, практические выводы для инженеров и руководства

• Опыт создания или адаптации агентных и LLM‑ассистированных инструментов для offensive security (автоматизация разведки, цепочки эксплойтов, harness‑ы для fuzzing) с пониманием, где AI действительно ускоряет работу, а где добавляет шум

• Знакомство с классами уязвимостей и методологиями тестирования, специфичными для AI/LLM

• Глубокие знания и опыт работы с одним или несколькими облачными провайдерами (например, AWS, GCP, Azure), Kubernetes, Cilium

• Опыт внедрения и эксплуатации инженерных инструментов и процессов безопасности (например, статический/динамический анализ кода, анализ состава программного обеспечения, SBOM, OWASP SAMM, инструменты fuzzing клиентских и сетевых компонентов)

• Менталитет Security as code, с упором на решение проблем через автоматизацию и масштабируемость

• BS, MS или PhD в области компьютерных наук или смежных областях

• Предыдущие вклады в open source проекты

• Сертификаты в области безопасности или облаков (AWS, GCP, Azure)

• Предыдущий опыт использования AI‑инструментов безопасности для целей pentesting

• Опыт создания или эксплуатации внутреннего red team‑инструментария и инфраструктуры с нуля, а не только полагаться на готовые решения

• Сертификаты в области offensive security (например, OSCP, OSCE, OSEP, OSWE)

Компенсация

Для ролей, базирующихся в United States, типичный стартовый диапазон зарплаты для этой позиции указан выше. В некоторых локациях, таких как Сан‑Франциско‑Бэй‑Эрия и Нью‑Йорк‑Сити Метро, может применяться премиальный рыночный диапазон, как указано.

Эти диапазоны зарплат отражают то, что мы добросовестно считаем минимальной и максимальной оплатой за эту роль на момент публикации. Фактическая компенсация может быть выше или ниже указанных сумм, а диапазоны могут быть скорректированы в будущем.

Размещение конкретного кандидата в диапазоне будет зависеть от различных факторов, включая (но не ограничиваясь) образование, квалификации, сертификаты, опыт, навыки, местоположение, производительность и потребности бизнеса или организации.

Если у вас есть вопросы или комментарии по поводу компенсации, пожалуйста, свяжитесь с нами по адресу paytransparency@clickhouse.com.

Привилегии

• Гибкая рабочая среда — ClickHouse является глобально распределённой компанией и поддерживает удалённую работу. Мы работаем более чем в 20 странах.

• Медицинское страхование — Взносы работодателя в ваше медицинское страхование.

• Доля в компании — Каждый новый член команды получает опционы на акции.

• Отпуск — Гибкий отпуск в США, щедрые нормы в других странах.

• $500 на оборудование домашнего офиса для удалённых сотрудников.

• Глобальные встречи — Мы верим в силу личных встреч и предоставляем возможности участвовать в корпоративных выездных мероприятиях.

Культура — Мы все формируем её

В рамках быстрорастущего стартапа вы будете играть ключевую роль в формировании нашей культуры.

Равные возможности и конфиденциальность

ClickHouse предоставляет равные возможности трудоустройства всем сотрудникам и кандидатам и запрещает дискриминацию и преследование любого рода на основе таких факторов, как раса, цвет кожи, религия, возраст, пол, национальное происхождение, статус инвалидности, генетика, статус защищённого ветерана, сексуальная ориентация, гендерная идентичность или выражение, или любой другой признак, защищённый федеральными, штатными или местными законами.

Пожалуйста, ознакомьтесь с нашей Политикой конфиденциальности по ссылке.