AppSec Engineer / DevSecOps
Оценка ИИОтличное предложение для опытного специалиста: высокая зарплата, работа в технологически сложной среде (Cloud, AI) и гибкий формат работы. Компания является крупным игроком, что гарантирует масштабные задачи и профессиональный рост.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сложность вакансии
Оценка ИИВысокая сложность обусловлена требованием опыта от 5 лет и глубоких знаний в специфических областях, таких как внутреннее устройство Kubernetes и анализ кода на Go/Python. Роль предполагает не только использование инструментов, но и архитектурное проектирование безопасности.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Анализ зарплаты
Оценка ИИПредлагаемая зарплата до 400 000 рублей на руки является верхней границей рыночного диапазона для Senior AppSec специалистов в России. Это конкурентное предложение, соответствующее высоким требованиям к опыту (5+ лет) и стеку технологий.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сопроводительное письмо
Составьте сопроводительное письмо под эту вакансию с вашим резюме
Описание вакансии
AppSec Engineer / DevSecOps
ЗП: до 400 000 на руки
Формат работы: удаленно (по РФ), гибрид или офис (Москва)
Занятость: полная
Мы - крупная компания-разработчик, разрабатываем публичные и приватные облака, управляемые базы данных, AI-платформы и платформы биллинга. Ищем AppSec-инженера в команду безопасности.
Чем предстоит заниматься:
*▫️* Разрабатывать и внедрять процессы по повышению уровня зрелости безопасной разработки.
*▫️* Интегрировать инструменты безопасной разработки с DevOps-процессами.
*▫️* Проводить анализ защищенности приложений с использованием SAST/DAST/SCA, Container security, разрабатывать и настраивать правила.
*▫️* Анализировать и формировать архитектуру безопасности продуктов.
*▫️* Координировать работу команд по устранению выявленных уязвимостей.
*▫️* Повышать осведомленность команд разработки в области безопасности.
*▫️* Сопровождать программу Bug Bounty.
Наш идеальный специалист:
*▫️* Опыт от 5 лет на позиции AppSec-инженера.
*▫️* Знает и понимает принципы эксплуатации угроз из OWASP Top 10, CWE Top 25 и защиты от них.
*▫️* Работал с инструментами SAST, DAST, SCA/OSA, ASOC.
*▫️* Понимает принципы устройства REST/gRPC API.
*▫️* Понимает принципы работы K8S: операторы, webhooks, reconciliation loop.
*▫️* Понимает принципы построения безопасного межсервисного взаимодействия.
*▫️* Работал с Docker, K8S и инструментами автоматического развертывания.
*▫️* Имеет базовые знания DevOps/DevSecOps (ландшафт систем, их назначение, решаемые задачи, общее понимание процессов).
*▫️* Анализировал исходный код и выявлял уязвимости как минимум на Go/Python.
Будет плюсом (не обязательно):
*▫️* Сертификат OSWE/BSCP.
*▫️* Участие в Bug Bounty.
Контакты: Откликнуться
Умный подбор, сопроводительные письма, советы по отказам — больше приглашений.
Навыки
- AppSec
- DevSecOps
- SAST
- DAST
- SCA
- Container Security
- Kubernetes
- Docker
- Go
- Python
- REST API
- gRPC
- OWASP
- Bug Bounty
Возможные вопросы на собеседовании
Проверка практических навыков анализа кода и понимания специфики языка.
Какие специфические уязвимости чаще всего встречаются в приложениях на Go и как вы предлагаете их автоматизированно выявлять?
Оценка знаний в области безопасности контейнерной оркестрации, указанной в требованиях.
Как можно использовать Admission Controllers в Kubernetes для обеспечения безопасности развертывания приложений?
Проверка умения выстраивать процессы, а не просто использовать инструменты.
Как вы расставляете приоритеты при обработке большого количества срабатываний (False Positives) от SAST-сканеров в крупном проекте?
Оценка опыта взаимодействия с внешними исследователями безопасности.
Расскажите о вашем опыте сопровождения Bug Bounty: как вы оцениваете критичность отчетов и взаимодействуете с разработчиками для их исправления?
Проверка понимания современных протоколов взаимодействия микросервисов.
В чем заключаются основные риски безопасности при использовании gRPC по сравнению с классическим REST API и как их минимизировать?
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
