Пентестер (Web Security)

Описание

Локация: удалённо; Санкт-Петербург, Россия
Зарплата: до 250000 RUB на руки в месяц
Компания
Факт — аккредитованная ИТ-компания с 15-летним опытом, создающая и развивающая корпоративные порталы, HRM- и CRM-системы, интернет-магазины и B2B-порталы для крупных российских организаций.
Что делать

Регулярно тестировать безопасность HRM-платформы, веб-приложения, REST API и связанных сервисов.
Проверять аутентификацию, авторизацию, разграничение доступа, сессии, токены, учётные записи и обработку файлов.
Выявлять уязвимости веб-приложений, интеграций и бизнес-логики, а также анализировать конфигурацию серверов и компонентов в согласованном периметре.
Оценивать критичность рисков, готовить технические отчёты и безопасные PoC.
Проводить повторное тестирование после устранения уязвимостей и участвовать в оценке новых функций.
Консультировать разработчиков и взаимодействовать с командами архитектуры, DevSecOps и информационной безопасности.

Требования

От 2–3 лет практического опыта в информационной безопасности и выявлении уязвимостей веб-приложений и API.
Знание OWASP Top 10, HTTP/HTTPS, REST API, cookies, sessions, JWT и OAuth/OIDC.
Практический опыт поиска уязвимостей контроля доступа, аутентификации и авторизации, SQL/NoSQL Injection, XSS, SSRF, IDOR/BOLA, CSRF, небезопасной обработки файлов и ошибок бизнес-логики.
Уверенное владение Linux, Burp Suite или аналогичными инструментами, а также Nmap, curl и другими средствами анализа веб- и сетевых сервисов.
Понимание SQL и NoSQL баз данных, умение читать исходный код хотя бы на одном языке программирования.
Навыки подготовки технической документации и объяснения рисков техническим специалистам и представителям бизнеса.

Хорошо, если есть

Опыт тестирования HRM, ERP, CRM или крупных корпоративных систем, включая системы с персональными данными.
Знание OWASP WSTG, PTES, OSSTMM и опыт автоматизации проверок на Python или Bash.
Опыт работы с CI/CD, DevSecOps, SAST, DAST и SCA.
Сертификаты OSCP, OSWE, eWPT, PNPT или аналогичные.

Культура и преимущества

Проектная занятость до конца ноября 2026 года.
Участие в крупном проекте по развитию HRM-платформы государственного уровня.
Возможность влиять на безопасность продукта на этапе разработки и развивать процессы регулярного тестирования.
Работа с современными веб-технологиями, API и корпоративными интеграциями.