Offensiver Sicherheitsingenieur

Über Stripe

Stripe ist eine Finanzinfrastrukturplattform für Unternehmen. Millionen von Unternehmen, von den größten Konzernen der Welt bis hin zu den ambitioniertesten Startups, nutzen Stripe, um Zahlungen anzunehmen, ihren Umsatz zu steigern und neue Geschäftsmöglichkeiten zu beschleunigen. Unsere Mission ist es, das BIP des Internets zu steigern, und wir haben eine unglaubliche Menge an Arbeit vor uns. Das bedeutet, dass Sie eine beispiellose Chance haben, die Weltwirtschaft für jedermann zugänglich zu machen und gleichzeitig die wichtigste Arbeit Ihrer Karriere zu erledigen.

Über das Team

Das Proactive Threat-Team ist dafür verantwortlich, Schwachstellen und Sicherheitslücken in den Systemen, Anwendungen, Netzwerken und der Cloud-Infrastruktur von Stripe zu identifizieren, bevor es Angreifer tun. Wir agieren als hybride Offensivfunktion: Wir führen Penetrationstests durch, emulieren reale Bedrohungsakteure durch Red-Team-Operationen und arbeiten eng mit unseren defensiven Sicherheitsteams zusammen, um Erkennungsfähigkeiten zu validieren und die allgemeine Sicherheitslage von Stripe zu verbessern.

Wir sind in erster Linie Bauherren. Unser Team entwickelt maßgeschneiderte Tools, Automatisierungs-Frameworks und interne Plattformen, die unsere Offensivfähigkeiten skalieren und wiederholbare, hochpräzise Bewertungen ermöglichen. Wir glauben, dass die besten offensiven Sicherheitsingenieure zu gleichen Teilen Hacker und Ingenieure sind.

Das Team ist über die gesamten Vereinigten Staaten verteilt, hauptsächlich in den Zeitzonen Ost- und Pazifik tätig und arbeitet regelmäßig mit Sicherheits-, Technik- und Produkt-Stakeholdern bei Stripe zusammen, einschließlich Teams in Europa und Asien.

Was Sie tun werden

Als Offensive Security Engineer im Proactive Threat-Team simulieren Sie die Taktiken, Techniken und Verfahren (TTPs) realer Angreifer, um Sicherheitsrisiken in den Produkten und der Infrastruktur von Stripe aufzudecken. Sie führen praktische Penetrationstests durch, leiten Einsätze im roten Team und arbeiten mit Kollegen im blauen Team zusammen, um die Erkennungs- und Reaktionsfähigkeiten zu validieren und zu verbessern. Ihre Arbeit wird direkten Einfluss darauf haben, wie Stripe die Finanzinfrastruktur aufbaut, versendet und sichert, die von Millionen von Unternehmen weltweit genutzt wird.

Über die Beurteilungen hinaus entwerfen und bauen Sie offensive Tools und Automatisierungen, die die Wirkung des Teams verstärken. Sie nutzen Bedrohungsinformationen, um Testbemühungen zu priorisieren, tragen bei Bedarf zur Untersuchung von Vorfällen bei und fungieren als Fachexperte für Sicherheitsinitiativen im gesamten Unternehmen.

Verantwortlichkeiten

• Führen Sie umfassende Penetrationstests für Webanwendungen, APIs, Cloud-Umgebungen (AWS/GCP/Azure), mobile Anwendungen und interne Infrastruktur durch

• Planen und führen Sie Red-Team-Einsätze durch, die die TTPs von Cyber- und kriminellen Bedrohungsakteuren nachahmen, die es auf Finanzdienstleistungen abgesehen haben, einschließlich Erstzugriffs-, Lateral-Movement-, Persistenz- und Datenexfiltrationsszenarien

• Führen Sie in Abstimmung mit den Verteidigungsteams angenommene Verstöße und zielbasierte Bewertungen durch, um die Erkennungs- und Reaktionsfähigkeiten zu testen

• Arbeiten Sie mit Erkennungstechnik-, Bedrohungsintelligenz- und Incident-Response-Teams zusammen, um Sicherheitskontrollen zu validieren, Abdeckungslücken zu identifizieren und die Erkennungstreue zu verbessern

• Tragen Sie Einblicke in das Handwerk des Gegners bei, um die Entwicklung von Erkennungsregeln, Hypothesen zur Bedrohungssuche und Playbooks zur Reaktion auf Vorfälle zu unterstützen

• Unterstützen Sie Vorfalluntersuchungen, indem Sie bei Bedarf offensives Fachwissen, Protokollanalysen und Ursachenanalysen bereitstellen

• Entwerfen, entwickeln und pflegen Sie benutzerdefinierte Angriffstools, Skripte und Automatisierungs-Frameworks, um die Effizienz und Abdeckung der Bewertung zu verbessern

• Erstellen Sie interne Plattformen und Arbeitsabläufe, die skalierbare, wiederholbare Angriffsoperationen ermöglichen

• Tragen Sie zu internen Sicherheitstool-Repositories bei und setzen Sie sich im Team für bewährte technische Verfahren ein

• Automatisieren Sie sich wiederholende Testaufgaben, Nutzlastgenerierung und Berichtsworkflows mithilfe moderner Entwicklungspraktiken

• Erstellen Sie klare, umsetzbare Berichte, die sowohl technischen als auch nichttechnischen Interessengruppen technische Erkenntnisse, Geschäftsrisiken und Abhilfemaßnahmen mitteilen

• Als Fachexperte und Hauptansprechpartner für Stakeholder-Teams fungieren, die an offensiven Sicherheitsprogrammen und Stripe-weiten Sicherheitsinitiativen beteiligt sind

• Leiten Sie offensive Sicherheitsprojekte durchgängig, betreuen Sie junge Teammitglieder und fördern Sie eine Kultur des kontinuierlichen Lernens und Wissensaustauschs

• Bleiben Sie über neue Bedrohungen, Schwachstellen und Angriffstechniken auf dem Laufenden; Teilen Sie Forschungsergebnisse intern und leisten Sie einen Beitrag zur breiteren Sicherheitsgemeinschaft

Wer du bist

Wir suchen jemanden, der die Mindestanforderungen erfüllt, um für die Stelle in Frage zu kommen. Wenn Sie diese Anforderungen erfüllen, werden Sie aufgefordert, sich zu bewerben. Die gewünschten Qualifikationen sind ein Bonus, keine Voraussetzung.

Mindestanforderungen

• Mehr als 5 Jahre Erfahrung in den Bereichen Offensivsicherheit, Penetrationstests, Red Teaming oder einem verwandten Bereich

• Starke Programmierkenntnisse in Python, Go oder ähnlichen Sprachen, mit nachgewiesener Erfahrung in der Erstellung von Tools, Automatisierung oder benutzerdefinierten Exploits

• Fundierte Kenntnisse der Webanwendungssicherheit, einschließlich OWASP Top 10, ASVS und allgemeiner Schwachstellenklassen (Injection, Authentifizierungsfehler, Geschäftslogik usw.)

• Praktische Erfahrung mit Cloud-Plattformen (AWS, Azure oder GCP), einschließlich Cloud-nativer Angriffstechniken und Fehlkonfigurationen

• Kenntnisse im Umgang mit offensiven Tools wie Burp Suite, Cobalt Strike, Mythic, Sliver, BloodHound oder ähnlichen Frameworks

• Vertrautheit mit gegnerischem Handwerk und Frameworks wie MITRE ATT&CK, einschließlich TTPs für Erstzugriff, Privilegieneskalation, Lateral Movement und Exfiltration

• Hervorragende schriftliche und mündliche Kommunikationsfähigkeiten mit der Fähigkeit, komplexe technische Erkenntnisse in klare, risikobasierte Empfehlungen umzusetzen

• Fähigkeit, wie ein Gegner zu denken, kreativ, beharrlich und in der Lage, Risiken in komplexen Umgebungen ganzheitlich einzuschätzen

Bevorzugte Qualifikationen…

Quelle: Jobspresso (https://jobspresso.co/job/offensive-security-engineer/)