Segezha Group - крупнейший международный лесопромышленный холдинг.
Segezha Digital Solutions — внутренний ИТ-интегратор холдинга Segezha Group, нацеленный на повышение эффективности бизнеса Группы посредством цифровизации бизнес-процессов и внедрения на производственных участках новейших технологий.
Segezha Digital Solutions (ООО «Сегежа Цифровые Решения») имеют аккредитацию Министерства цифрового развития, связи и массовых коммуникаций. На предприятиях Segezha Group работает более 14 тыс. человек и мы приглашаем Вас стать частью нашей команды в должности:
Ведущий специалист направления защиты ИТ инфраструктуры (рабочее место в офисе)
ЧЕМ ПРЕДСТОИТ ЗАНИМАТЬСЯ
Основное направление
- Проведение аудитов информационной безопасности инфраструктуры предприятий Компании;
- Тестирование на проникновение (внутренний pentest) корпоративной инфраструктуры;
- Архитектурный контроль безопасности существующих и новых информационных систем;
- Выявление уязвимостей в сетевой инфраструктуре, прикладных системах;
- Разработка планов и рекомендаций по устранению выявленных проблем безопасности.
Конкретные задачи
Active Directory и доменная инфраструктура:
- Аудит безопасности Active Directory (парольные политики, делегирование прав, GPO);
- Анализ конфигурации контроллеров домена;
- Проверка привилегированных учетных записей и групп безопасности;
- Выявление неправильных настроек и потенциальных векторов атак;
- Тестирование устойчивости к типовым атакам (Pass-the-Hash, Kerberoasting, Golden Ticket).
Сетевая инфраструктура:
- Анализ топологии и сегментации сети;
- Проверка сетевого оборудования на наличие уязвимостей и дефолтных паролей;
- Тестирование защищенности от перехвата трафика;
- Аудит настроек межсетевых экранов и маршрутизаторов.
Серверная инфраструктура:
- Проверка Windows Server и Linux серверов на наличие уязвимостей;
- Анализ настроек безопасности служб и сервисов;
- Проверка прав доступа к критическим ресурсам (резервные копии, общие папки);
- Аудит защищенности виртуальной инфраструктуры.
Прикладные системы:
- Анализ защищенности 1С:Предприятие (аутентификация, права доступа);
- Проверка баз данных (MS SQL, PostgreSQL, Oracle);
- Тестирование веб-приложений и внутренних сервисов;
Автоматизация и документирование:
- Разработка скриптов для автоматизации проверок безопасности (PowerShell, Python);
- Создание чек-листов и методик аудита;
- Подготовка детальных технических отчетов с приоритизацией рисков;
- Составление рекомендаций и планов устранения для ИТ-служб;
- Подготовка презентаций результатов аудита для руководства.
ТРЕБОВАНИЯ
Обязательные навыки и знания
Active Directory и Windows:
- Глубокое понимание архитектуры и принципов работы Active Directory;
- Знание типовых векторов атак на доменную инфраструктуру;
- Опыт аудита безопасности AD (анализ GPO, делегирования, привилегий);
- Понимание Kerberos, NTLM, механизмов аутентификации Windows;
- Опыт выявления misconfiguration в доменной среде.
Сетевая безопасность:
- Уверенное понимание сетевых протоколов (TCP/IP, DNS, DHCP, SMB, LDAP, HTTP/HTTPS);
- Знание методов атак на сетевом уровне (ARP spoofing, MITM, LLMNR/NBT-NS poisoning);
- Опыт анализа сетевой инфраструктуры на уязвимости;
- Понимание принципов построения защищенных сетей и сегментации.
Тестирование на проникновение:
- Практический опыт проведения внутренних пентестов (от 2 лет);
- Знание методологий: OWASP, PTES, MITRE ATT&CK Framework;
- Умение работать с инструментами:
- Сканеры: Nmap, Masscan;
- AD аудит: Bloodhound, PingCastle, SharpHound;
- Post-exploitation: Mimikatz, Rubeus, Impacket;
- Network: Responder, Wireshark, tcpdump;
- Эксплуатация: Metasploit Framework;
- Сканеры уязвимостей: Nessus, OpenVAS или аналоги.
Скриптинг и автоматизация:
- Уверенное владение PowerShell для аудита Windows-инфраструктуры (must have);
- Базовые навыки Python для автоматизации задач;
- Умение писать скрипты для сбора информации и проверки безопасности;
- Опыт работы с Git для версионирования скриптов.
Операционные системы:
- Уверенное знание Windows Server (2012 R2 - 2022);
- Базовое администрирование Linux (Ubuntu, CentOS, RHEL).
- Понимание различий в механизмах безопасности ОС.
Базы данных и прикладные системы:
- Понимание принципов защиты БД (MS SQL Server, PostgreSQL);
- Базовые знания архитектуры веб-приложений;
- Опыт анализа безопасности API (REST, SOAP).
Аналитика и документирование:
- Умение анализировать большие объемы технической информации;
- Способность приоритизировать уязвимости по уровню риска;
- Опыт составления технических отчетов и executive summary;
- Умение создавать чек-листы, регламенты, методики;
- Способность объяснять технические детали понятным языком для нетехнической. аудитории
Будет большим плюсом
Дополнительные навыки:
- Участие в CTF соревнованиях (укажите достижения);
- Публикации в области ИБ (статьи, доклады на конференциях);
- Знание требований регуляторов (ФСТЭК, ФСБ, 152-ФЗ, приказ 239 ФСТЭК);
- Опыт работы с промышленными протоколами и АСУ ТП;
- Знание систем виртуализации с точки зрения безопасности (VMware, Hyper-V);
- Знание технологий контейнеризации (Docker, Kubernetes);
- Английский язык (чтение технической документации и whitepapers);
- Опыт участия в Bug Bounty программах.
Условия работы:
- стабильность (компания соблюдает ТК, своевременно выплачивает заработную плату, оплачивает б/л и отпуска);
- развитие(в компании есть внутреннее и внешнее обучение, мы выращиваем профессионалов и даем возможность карьерного роста);
- команда(ваши коллеги всегда готовы дать совет, поделиться опытом и помочь в решении интересных задач);
- уровень компании(Segezha Group - международный холдинг, занимающий лидирующие позиции в производстве и реализации продукции деревообработки);
- рабочее место в офисе (удаленного кандидата не рассматриваем).