- Страна
- Россия
AppSec-инженер
Оценка ИИИнтересная вакансия в профильной ИТ-компании с фокусом на глубокую экспертизу в AppSec и возможностью удаленной работы.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Улучшите резюме под эту вакансию
Возьмём требования и создадим новую версию резюме с акцентом на нужный опыт
Сложность вакансии
Оценка ИИРоль требует глубоких знаний в области статического анализа (SAST) и умения писать сложные правила обнаружения уязвимостей, что выше среднего уровня сложности для обычного ИБ-специалиста.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Анализ зарплаты
Оценка ИИЗарплата в объявлении не указана, но для специалистов AppSec с опытом 3–6 лет на российском рынке медиана составляет около 250 000 – 350 000 рублей. Вакансия предполагает обсуждение на собеседовании, что позволяет претендовать на верхнюю границу рынка при наличии сильных навыков в SAST.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сопроводительное письмо
Составьте сопроводительное письмо под эту вакансию с вашим резюме
Описание вакансии
**AppSec-инженер.
Локация:** Можно работать удаленно.
Опыт: 3–6 лет.
Зарплата: ₽. Обсуждается на собеседовании.
Компания: ITD Group.
Обязанности:• Разрабатывать и улучшать правила SAST;
• Исследовать уязвимости в исходном коде: разбирать причины возникновения, условия эксплуатации и способы автоматического обнаружения;
• Анализировать результаты сканирования, находить причины ложных срабатываний и пропусков, повышать точность и покрытие проверок;
• Создавать тестовые примеры с уязвимым и безопасным кодом и поддерживать наборы тестов для проверки качества правил;
• Готовить описания срабатываний и рекомендации по исправлению уязвимостей;
• Совместно с разработчиками анализатора определять необходимые возможности движка для улучшения проверок.
Требования:• Практический опыт в AppSec: поиск и анализ уязвимостей в исходном коде, проведение security code review;
• Понимание распространённых классов уязвимостей, условий их эксплуатации и способов исправления;
• Понимание основ статического анализа: поток данных, источники недоверенных данных, опасные операции и санитизация;
• Умение переводить описание уязвимости в условия автоматической проверки и проверять их на уязвимых и безопасных примерах;
• Навыки работы с Git, автоматизированными тестами и ревью кода;
• Знание одного из веб-фреймворков;
• Для более высокой позиции прикладной опыт работы с SAST-инструментами.
*✈* Откликнуться
Больше похожих вакансий + автоотклики с ИИ
Умный подбор, сопроводительные письма, советы по отказам — больше приглашений.
Навыки
- AppSec
- SAST
- Security Code Review
- Git
- Static Analysis
- Data Flow Analysis
- Web Frameworks
Возможные вопросы на собеседовании
Проверка понимания фундаментальных принципов SAST.
Расскажите, как работает Data Flow анализ и чем отличаются Source, Sink и Sanitizer в контексте поиска уязвимостей?
Оценка практического опыта работы с ложноположительными результатами.
Какие стратегии вы используете для снижения уровня False Positives при настройке SAST-инструментов без потери качества покрытия?
Проверка навыков разработки правил.
Опишите процесс создания кастомного правила для поиска SQL-инъекции в специфичном для компании фреймворке.
Оценка умения объяснять риски разработчикам.
Как вы будете аргументировать необходимость исправления уязвимости среднего уровня критичности команде разработки, у которой горят сроки по фичам?
Проверка знаний о современных угрозах.
С какими специфическими уязвимостями в логике современных веб-фреймворков вы сталкивались чаще всего в ходе Code Review?
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
