Мы создаем единую систему цифровой маркировки и прослеживания товаров в России и странах ЕАЭС. Наша система позволяет снизить уровень контрафакта и гарантировать подлинность товаров, производимых в стране или ввозимых в нее.
Честный Знак - одна из самых высоконагруженных платформ, которой нет аналогов:
- микросервисная архитектура на Kubernetes с Istio в нашей собственной инфраструктуре;
- петабайты живых данных, с которыми круглосуточно работают наши сервисы и клиенты через API;
- миллиарды транзакций в день и десятки тысяч запросов в секунду;
- аналитика в реальном времени на потоках событий и масштабная батчевая аналитика по ночам;
- мобильное приложение с 27+ миллионов установок;
- десятки релизов в продакшн каждый день, feature flags, инфраструктура как код.
Под капотом - Kafka, Cassandra, Spark, Airflow, Iceberg, ClickHouse, GitLab CI/CD, Helm, Prometheus, Grafana.
Мы не боимся сложных задач и запускаем в продакшн смелые инженерные идеи!
- *Чем предстоит заниматься:**
- Проведение комплексных тестирований на проникновение (Penetration Testing) внешнего и внутреннего периметра, веб-приложений, API, сетевой и серверной инфраструктуры. Поиск и эксплуатация уязвимостей, построение цепочек атак.
- Проведение Red Team-операций - моделирование действий реальных злоумышленников и APT-групп с использованием актуальных TTP (тактик, техник и процедур). Разработка сценариев атак от первоначального проникновения до достижения целевых систем (включая закрепление, повышение привилегий, обход защиты и горизонтальное перемещение).
- Комплексный анализ безопасности Active Directory и доменной инфраструктуры: проверка конфигураций Kerberos, NTLM, LDAP, Group Policy, PKI/AD CS, делегирования полномочий и сервисных учетных записей, построение путей повышения привилегий.
- Оценка эффективности средств защиты (SOC, SIEM, EDR, антивирусы, NGFW, IDS/IPS) - проведение контролируемых атак и совместный анализ результатов с Blue Team для проверки качества детектирования.
- Разработка и адаптация техник атак - исследование новых методов эксплуатации, обхода защиты, закрепления и перемещения; адаптация существующих инструментов и публичных PoC под особенности инфраструктуры заказчика.
- Участие в Purple Team-активностях - воспроизведение техник MITRE ATT&CK, помощь в проверке детектирования, выявление пробелов в мониторинге и формирование рекомендаций по усилению защиты.
- Автоматизация процессов - разработка внутренних скриптов и инструментов на Python/PowerShell/Bash для разведки, сканирования, анализа инфраструктуры, эксплуатации и формирования отчетности.
- Подготовка технических отчетов (опционально) - описание обнаруженных уязвимостей и цепочек атак, оценка рисков, подготовка практических рекомендаций по устранению проблем.
- Контроль устранения уязвимостей - проведение повторных проверок после исправления недостатков, подтверждение корректности устранения и невозможности повторной эксплуатации.
- Экспертная поддержка команды - консультирование коллег по вопросам эксплуатации, проведение внутренних технических разборов, обучение и развитие компетенций команды.
- Мониторинг новых угроз и инструментов - отслеживание свежих уязвимостей, исследований и техник в области Offensive Security, проверка их применимости к инфраструктуре компании и пополнение внутренней базы знаний.
- *От успешного кандидата мы ожидаем:**
- Практический опыт проведения пентестов внешнего/внутреннего периметра, веб-приложений, API и инфраструктурных сервисов.
- Опыт проведения Red Team-операций и моделирования действий злоумышленников с пониманием Cyber Kill Chain, MITRE ATT&CK и современных TTP.
- Глубокое знание архитектуры и механизмов безопасности Active Directory (Kerberos, NTLM, LDAP, Group Policy, PKI/AD CS) и опыт эксплуатации ошибок конфигурации AD.
- Опыт пост-эксплуатации Windows и Linux: повышение привилегий, lateral movement, получение учетных данных, закрепление, пивотинг и работа через скомпрометированные узлы.
- Понимание принципов работы EDR, антивирусов, SIEM, IDS/IPS, NGFW и навыки обхода этих средств защиты с соблюдением OPSEC.
- Опыт тестирования веб-приложений и API (REST/GraphQL), знание OWASP Top 10 и OWASP API Security Top 10, умение строить сложные цепочки эксплуатации.
- Уверенное владение сетевыми технологиями, протоколами (TCP/IP, HTTP, DNS, SMB и др.), опыт построения туннелей и пивотинга через jump-host, SOCKS/прокси, VPN.
- Практическое владение инструментарием: Burp Suite, Nmap, Metasploit, BloodHound, Impacket, NetExec/CrackMapExec, Rubeus, Certipy, Responder/Inveigh, C2-фреймворками.
- Навыки разработки/модификации скриптов и инструментов на Python / PowerShell / Bash для автоматизации задач и адаптации PoC.
- Знание ОС Windows и Linux на уровне опытного администратора (разграничение доступа, журналирование, службы, процессы, механизмы безопасности).
- Наличие сертификатов OSCP, OSCE, CRTP, CRTE или аналогичных.
- Опыт работы в Purple Team и взаимодействия с SOC.
- Участие в bug bounty-программах или публичные исследования в области безопасности.
- *Почему именно мы:Возможности для развития**
- Участие в митапах и конференциях: делимся знаниями и учимся у других.
- Внутренние корпоративные тренинги.
- Buddy-поддержка: путеводитель в корпоративную жизнь компании.
- *Заботимся осотрудниках**
- Здоровье: ДМС (включая стоматологию) после испытательного срока, компенсация больничных до оклада (10 рабочих дней в год), полис путешественника, корпоративные психологи.
- Материальная помощь в сложных жизненных ситуациях.
- Кафетерий льгот: не только на спорт и обучение, но и ИТ-сервисы, расширение ДМС для семьи.
- Оформление по ТК РФ в аккредитованной ИТ-компании.
- Работай удаленно из любой точки России, в гибридном формате или из офиса в центре Москвы/Петербурга (рядом с метро).
- Гибкое начало рабочего дня.
- Выдаем рабочую технику: ноутбук, монитор, гарнитура - всё для продуктивной работы.
- Открытая культура общения.
- Спорт: футбол, волейбол, йога - вариантов много, выбирай или создай свое комьюнити!
- Воркшопы, праздники для детей, книжный клуб - скучно не будет.
- Стильный мерч, который хочется носить.
- Реферальная программа: приводи друзей и получай бонусы.
- *Если ты хочешь расти профессионально, работать с классными людьми и при этом чувствовать заботу - ждем в нашей команде!**