Information Security Application Security Engineer Senior United States Remote

Application Security Engineer работает независимо от команд разработки и подчиняется нашему Cybersecurity Business Analyst, но большую часть времени будет взаимодействовать с командами Dev и DevOps. Основные задачи:

• Внедрение и настройка SAST (статическое тестирование безопасности приложений) и DAST (динамическое тестирование безопасности приложений) для наших веб-ресурсов, включая TOA, API, AFB и стек Project One.

• Интеграция проверок безопасности в наши конвейеры CI/CD.

• Работа с командами для обеспечения безопасного обращения с секретами и выстраивание практик их ротации в соответствии с нашими политиками и стандартами.

• Помощь командам в понимании, приоритизации и устранении проблем, обнаруженных этими инструментами.

• Выбирать, развертывать и настраивать инструменты SAST в наших репозиториях, интегрируя сканирование в pull request и конвейеры CI/CD с практичными контрольными порогами качества.

• Внедрять и эксплуатировать сканирование DAST для наших веб-приложений и API в staging-средах и средах, приближенных к production.

• Добавлять анализ состава программного обеспечения (software composition analysis) и сканирование зависимостей для отслеживания уязвимых компонентов с открытым исходным кодом.

• Сокращать число ложных срабатываний и усталость от оповещений с помощью настройки правил, формирования базовых уровней (baselining) и пороговых значений критичности, чтобы разработчики доверяли результатам и действовали на их основе.

• Рекомендовать и внедрять решения и практики управления секретами, соответствующие нашим действующим политикам и стандартам хранения, распространения, ротации и аудита секретов.

• Развертывать сканирование секретов в репозиториях, commit hooks и конвейерах, чтобы обнаруживать жестко прописанные учетные данные до выпуска, и совместно с DevOps убирать долгоживущие учетные данные из конвейеров, конфигураций и infrastructure-as-code.

• Руководить реагированием при раскрытии секретов: отзыв, ротация, оценка последствий и устранение первопричины.

• Проводить первичный разбор результатов сканеров, пентестов, внешних отчетов и внутренних проверок, расставляя приоритеты по возможности эксплуатации, степени доступности и влиянию на бизнес, а не по необработанным оценкам критичности.

• Напрямую работать с разработчиками и инженерами DevOps, чтобы понимать первопричины, предлагать практичные исправления и согласовывать реалистичные сроки устранения.

• Отслеживать findings до закрытия в существующих рабочих инструментах команд, а также определять и обеспечивать соблюдение SLA на устранение в зависимости от критичности.

• Выявлять повторяющиеся паттерны уязвимостей и устранять их в источнике с помощью общих библиотек, безопасных настроек по умолчанию и защитных ограничений в конвейерах.

• Выполнять ручной анализ кода и целевое тестирование безопасности для функций с высоким риском, таких как аутентификация, загрузка файлов и API.

• Предоставлять четкие, применимые на практике рекомендации по устранению с примерами на уровне кода и участвовать в разработке стандартов безопасного программирования, соответствующих OWASP Top 10 и ASVS.

• Участвовать в обсуждениях дизайна и архитектуры, вносить предложения по безопасности и проводить threat modeling для новых функций и сервисов.

• Выстраивать roadmap, процессы и стратегию инструментов для новой функции безопасности приложений, включая рекомендации «собственная разработка или покупка» и оценку поставщиков.

• Определять метрики безопасности приложений и отчитываться по ним перед руководством по безопасности, например охват сканированием, среднее время устранения и количество открытых критических и высоких findings.

• Поддерживать требования аудита и соответствия, связанные с безопасной разработкой, и участвовать в реагировании на инциденты, связанные с безопасностью на уровне приложений.

Обязательные требования:

• Степень бакалавра (BA/BS) в области Computer Science, Information Technology, Cybersecurity или смежной области, а также 5+ лет опыта в области безопасности приложений, безопасности продуктов или в инженерной роли, ориентированной на безопасность, либо эквивалентный практический опыт.

• Практический опыт развертывания и эксплуатации инструментов SAST и DAST в конвейерах CI/CD, включая их настройку для повышения точности.

• Опыт внедрения управления секретами и сканирования секретов в production-среде.

• Глубокие знания уязвимостей веб-приложений (OWASP Top 10, CWE Top 25) и способов их устранения в коде.

• Практические знания рабочих процессов и протоколов аутентификации и управления идентификацией (например, SAML, OAuth 2.0, OpenID Connect, SSO, управление сессиями) и типичных ошибок безопасности при их реализации.

• Умение читать и проверять код как минимум на одном современном языке (например, Python, JavaScript/TypeScript, Java, C#, Go).

• Практические знания платформ CI/CD (например, GitHub Actions, GitLab CI, Jenkins) и практик DevOps.

• Подтвержденный опыт работы с разработчиками по исправлению проблем безопасности, а не только по их выявлению.

Будет плюсом:

• Опыт создания или значительного развития программы безопасности приложений с нуля.

• Опыт работы с методологиями threat modeling, такими как STRIDE или PASTA.

• Опыт работы с безопасностью облачных сред и контейнеров (например, Microsoft Azure, AWS или GCP; Docker и Kubernetes).

• Опыт сканирования безопасности infrastructure-as-code и тестирования безопасности API.

• Опыт оценки инструментов безопасности, включая решения «собственная разработка или покупка».

• Знакомство с фреймворками соответствия требованиям безопасности, такими как SOC 2, и с концепциями безопасности цепочки поставок, такими как SBOM и SLSA.

• Соответствующие сертификации, такие как GWAPT, OSWE, CSSLP, или эквивалентные.

В Intellias технологии стоят на первом месте, но люди всегда важнее процессов. Создавая комфортную атмосферу в команде, мы помогаем каждому раскрыть свой потенциал и достигать выдающихся результатов. Поэтому мы предлагаем ряд льгот, которые поддерживают ваше благополучие и стимулируют ваш профессиональный рост.

Мы стремимся поддерживать справедливость, разнообразие и инклюзивность как работодатель равных возможностей. Все кандидаты будут рассматриваться без дискриминации по признаку расы, цвета кожи, религии, возраста, пола, национальности, инвалидности, сексуальной ориентации, гендерной идентичности или самовыражения, статуса ветерана или любого другого признака, защищенного применимым законодательством.