Специалист по тестированию на проникновение (Application Security / Penetration Tester)

● Профессиональное развитие в крупной MedTech компании

● Оформление по ТК РФ с первого дня в дочернюю аккредитованную ИТ компанию

● Гибридный формат работы

● Здоровье и поддержка: полис ДМС с телемедициной, консультациями узких специалистов и психотерапевта. Корпоративные скидки до 50% на все виды медицинских услуг для вас и ваших близких

● 3 дня оплачиваемых выходных

● Подарок на День рождения и для детей к Новому году и Дню знаний

● Внутреннее и внешнее обучение, семинары, тренинги

● Корпоративные скидки и эксклюзивные специальные предложения от 800+ партнеров (товары, обучение, спорт, здоровье, рестораны, отдых)

● Вознаграждение за рекомендацию друзей в команду ИНВИТРО

● Насыщенная жизнь в компании! Проводим корпоративные и спортивные мероприятия, профессиональные соревнования, конкурсы для сотрудников и членов семьи. В компании у каждого сотрудника имеется возможность для профессионального и карьерного роста.

● Ручное тестирование бизнес-логики, поиск OWASP Top 10 уязвимостей (SQLi, XSS, SSRF, IDOR, Race Condition и др.)

● Проведение внутренних и внешних пентестов сети (с учетом веб-пентест направления)

● Анализ безопасности API (REST, GraphQL, gRPC), включая вопросы аутентификации и авторизации (OAuth 2.0, JWT)

● Интеграция статического анализа кода (SAST) в процесс code review

● Запуск и кастомизация динамического анализа (DAST) на этапе тестирования сборок

● Работа с Software Composition Analysis (SCA) для контроля уязвимых библиотек и зависимостей

● Сканирование образов на уязвимости и секреты в CI/CD пайплайне

● Анализ конфигураций Docker и Kubernetes: проверка привилегированных контейнеров, Network Policies, RBAC-модели (проверка на escape-атаки)

● Контроль безопасности инфраструктуры как кода (IaC): сканирование Terraform, Ansible на предмет небезопасных конфигураций

● Аудит пайплайнов поставки кода: контроль доступа к репозиториям, проверка на "Pipeline Injection", защита секретов

● Выстраивание процесса безопасной разработки (SSDLC), консультирование разработчиков по безопасному кодингу

● Передача "паттернов атак" в SOC

● Научить SOC видеть в логах новый способ обхода WAF или эксплуатации легитимного софта, если пентестер его нашел

● Участие в Red Team операциях совместно с SOC (Purple Teaming) для проверки готовности команды мониторинга

● Отличное владение Burp Suite Pro (включая Extensions, Intruder, Repeater), знание Metasploit, Nmap, Kali Linux

● Глубокое понимание протокола HTTP, Same-Origin Policy, CORS, механизмов аутентификации

● Уверенный Python или Go для написания эксплоитов и кастомных скриптов автоматизации фаззинга

● Понимание микросервисной архитектуры, принципов работы брокеров сообщений (RabbitMQ, Kafka), принципов контейнеризации (Docker)

● Знание векторов атак на кластер (уязвимые volumes, service account tokens, доступ к kubelet API)

● Базовые навыки анализа мобильных или десктопных приложений для поиска зашитых секретов (инструменты вроде jadx, Frida)

● Способность выходить за рамки чек-листов и искать нетривиальные комбинации уязвимостей

● Умение простым языком объяснить разработчику суть уязвимости и предложить конкретный безопасный код