Компания АО НПО «Эшелон» (является аккредитованной IT-компанией) специализируется на оказании услуг по сертификации, как обязательной, так и в рамках добровольной системы сертификации (СДС).
Основные направления Центра оценки соответствия и тестирования:
- Проведение внешнего и внутреннего тестирования на проникновение и анализ защищённости информационных систем и инфраструктуры организаций.
- Сертификация по требованиям ФСТЭК России.
- Оценка соответствия по требованиям ОУД в рамках проверки банковских приложений (требования ГОСТ ИСО/МЭК 15408, Профиля защиты ЦБ, положения Банка России).
- Проведение тематических исследований по требованиям ФСБ России.
- Проведение оценки по требованиям стандарта платформы Цифрового Рубля.
- Принятие участия в разработке стандартов в области защиты информации (в рамках в рабочей группы ТК-362).
- Внедрение процессов безопасной разработки по требованиям
ГОСТ Р 56939-2016, ГОСТ Р 56939-2024.
Обязанности:
- Проведение фаззинг-тестирования веб-приложений, API, десктопных приложений, мобильных приложений.
- Определение поверхности атаки, написание фаззинг-цели (обертки) и создание тестового окружения для проведения фаззинг-тестирования.
- Проведение статической/динамической инструментации кода, встраивание датчиков и санитайзеров, использование профилировщиков работы программы.
- Конфигурирование и выполнение фаззинг-тестов для выявления уязвимостей в программном обеспечении.
- Работа с различными инструментами фаззинг-тестирования (AFL++, LibFuzzer, Honggfuzz, Jazzer, Peach Fuzzerи др.), создание и адаптация корпусов для тестирования.
- Работа с отладчиками и дизассемблерами.
- Сбор обратной связи и анализ покрытия кода при фаззинг-тестировании, разработка стратегий для его увеличения.
- Анализ результатов динамического анализа и фаззинг-тестирования, идентификация и верификация уязвимостей, трассировка и отладка сбоев, создание воспроизводимых сценариев.
- Составление технических отчетов о результатах тестирования, включая описание уязвимостей, шагов воспроизведения, оценку уровня критичности уязвимостей и рекомендации по исправлению.
- Взаимодействие с Заказчиком для консультаций по устранению уязвимостей и улучшению уровня безопасности.
Наши ожидания:
- Понимание этапов компиляции и оптимизации программ, понимание различий между компилируемыми и интерпретируемыми языками программирования.
- Умение работать с компилируемыми языками, интерпретируемыми языками программирования, языками программирования, компилируемыми в промежуточное представление, средами выполнения кода.
- Знание как минимум одного компилируемого и одного интерпретируемого языка (например, Go и C# или C++ и Python) и понимание их экосистем, включая библиотеки, фреймворки и инструменты разработки.
- Знание протоколов (HTTP/HTTPS, TCP/IP, UDP, DNS, FTP, SMTP и др.) и форматов файлов.
- Понимание принципов работы систем контроля версий, системами сборки и системами управления пакетами.
- Хорошие аналитические навыки и опыт документирования результатов тестирования.
Будет плюсом:
- Знание английского языка на уровне понимания зарубежных стандартов.
- Опыт проведения статического анализа кода или реверс-инжиниринга.
- Опыт интеграции инструментов безопасности в CI/CD (Jenkins, GitLab CI, GitHub Actions).
- Опыт работы с инструментами эмуляции (QEMU).
- Желание в развитии методологии и стандартов динамического анализа кода.
Мы предлагаем:
- Интересную работу в дружелюбном молодом коллективе с адекватным менеджментом.
- Участие в интересных проектах и задачах, связанных с информационной безопасностью.
- Прозрачную и понятную финансовую мотивацию (оклад + премиальная часть от выполненного проекта), а также возможность карьерного роста.
- Возможность участия в проведении обучающих мероприятий и консультаций для заказчиков (с дополнительной оплатой).
- Индивидуальный график работы (8:00-17:00; 9:00-18:00; 10:00-19:00).
- Официальное трудоустройство в соответствии с ТК РФ (оплачиваемый отпуск, больничный).
- Оплату мобильной связи.
- Частичную компенсацию ДМС и абонемента в фитнес-клуб.
- Корпоративная пенсионная программа (дополнительные перечисления взносов работодателем в НПФ).
- Возможность внутреннего обучения, повышения квалификации в учебном центре компании.
- Возможность профессионального роста и самореализации, введение в рабочий процесс новых подходов и методик.