Обязанности:
- Разрабатывать и улучшать правила SAST.
- Исследовать уязвимости в исходном коде: разбирать причины возникновения, условия эксплуатации и способы автоматического обнаружения.
- Анализировать результаты сканирования, находить причины ложных срабатываний и пропусков, повышать точность и покрытие проверок.
- Создавать тестовые примеры с уязвимым и безопасным кодом и поддерживать наборы тестов для проверки качества правил.
- Готовить описания срабатываний и рекомендации по исправлению уязвимостей.
- Совместно с разработчиками анализатора определять необходимые возможности движка для улучшения проверок.
Требования:
- Практический опыт в AppSec: поиск и анализ уязвимостей в исходном коде, проведение security code review.
- Понимание распространённых классов уязвимостей, условий их эксплуатации и способов исправления.
- Понимание основ статического анализа: поток данных, источники недоверенных данных, опасные операции и санитизация.
- Умение переводить описание уязвимости в условия автоматической проверки и проверять их на уязвимых и безопасных примерах.
- Навыки работы с Git, автоматизированными тестами и ревью кода.
- Знание одного из веб-фреймворков.
- Для более высокой позиции — прикладной опыт работы с SAST-инструментами.
Опыт: 3–6 лет. Удалённая работа. Зарплата обсуждается на собеседовании.