AppSec-инженер
Оценка ИИСтабильная компания из экосистемы Сбера, четко описанный стек технологий и важная роль в обеспечении безопасности финтех-решений делают вакансию привлекательной для опытных специалистов.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сложность вакансии
Оценка ИИРоль требует глубоких знаний в области ИБ, владения специфическим стеком инструментов (SAST/DAST/SCA) и умения находить общий язык с разработчиками для исправления уязвимостей.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Анализ зарплаты
Оценка ИИЗарплата в объявлении не указана, но для позиции AppSec-инженера в Москве рыночный диапазон составляет от 200 000 до 350 000 рублей в зависимости от уровня компетенций. Сбер2В обычно предлагает конкурентные условия, соответствующие средним и верхним границам рынка.
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
Сопроводительное письмо
Составьте сопроводительное письмо под эту вакансию с вашим резюме
Описание вакансии
**AppSec-инженер.
Локация:** .
Зарплата: ₽. Обсуждается на собеседовании.
Компания: Сбер2В.
Обязанности:• Работа с инструментами безопасной разработки SAST, DAST, SCA, ASOC, MAST;
• Проведение аудитов безопасности приложений и сервисов компании;
• Оценка рисков и разработка мер по их снижению;
• Определение критичных компонентов АС и приоритетов защиты;
• Взаимодействие и поддержка команд разработки по вопросам ИБ и практикам безопасной разработки;
• Согласование релизов и участие в ПСИ;
• Триаж уязвимостей ПО;
• Проведение сканирования ПО.
Требования:
• Понимание современных методов тестирования приложений на уязвимости (SAST/DAST/IAST/SCA/Penetration Testing);
• Опыт выявления и устранения распространенных уязвимостей (XSS, SQL Injection, CSRF);
• Практический опыт анализа исходного кода на предмет слабых мест и потенциальных угроз;
• Владение инструментами статического и динамического анализа безопасности (Burp Suite, OWASP ZAP, SonarQube, Veracode и др.);
• Знание методологии проведения анализа защищенности веб-приложений и API;
• Навык разработки рекомендаций по улучшению защиты приложений;
• Опыт проводить триаж уязвимостей и взаимодействовать с командой разработки.
*✈* Откликнуться
Умный подбор, сопроводительные письма, советы по отказам — больше приглашений.
Навыки
- SAST
- DAST
- SCA
- ASOC
- MAST
- Burp Suite
- OWASP ZAP
- SonarQube
- Veracode
- API Security
- Penetration Testing
- XSS
- SQL injection
- CSRF
Возможные вопросы на собеседовании
Проверка понимания фундаментальных уязвимостей веб-приложений.
Расскажите о наиболее критичных уязвимостях из списка OWASP Top 10 и методах их предотвращения.
Оценка практического опыта работы с инструментами анализа кода.
С какими инструментами SAST/DAST вы работали и как вы справляетесь с большим количеством ложноположительных срабатываний (False Positives)?
Проверка навыков коммуникации с разработкой.
Как вы будете убеждать команду разработки исправить уязвимость, которую они не считают приоритетной?
Оценка знаний в области безопасности API.
В чем заключаются основные особенности тестирования безопасности API по сравнению с классическими веб-приложениями?
Проверка понимания процесса DevSecOps.
Как, по вашему мнению, должен выглядеть идеальный процесс интеграции проверок безопасности в CI/CD пайплайн?
Сформировано ИИ автоматически. Не является проверкой вакансии или работодателя.
