Ingénieur de sécurité senior, sécurité offensive

À PROPOS DE DOCKER

Docker est l'une des marques d'outils de développement les plus appréciées, à laquelle font confiance plus de 20 millions d'utilisateurs mensuels et plus de 20 milliards d'images de conteneurs. Des fondateurs individuels aux plus grandes entreprises du monde, les développeurs s'appuient sur Docker pour créer, partager et exécuter leurs applications sur notre suite de produits, notamment Docker Desktop, Docker Hub et Docker Scout.

Nous sommes une équipe distribuée à l'échelle mondiale et travaillant à distance, créant les outils qui définissent la manière dont les logiciels sont créés et livrés. Alors que les agents d'IA redéfinissent le développement logiciel, Docker est au centre de ce changement, fournissant des environnements en bac à sable, des images vérifiées et une infrastructure sécurisée qui rendent les flux de travail autonomes fiables par défaut.

_______________________________________________________________________

En tant qu'ingénieur de sécurité senior, sécurité offensive, vous contribuerez à la mise en place d'une sécurité offensive chez Docker, en soumettant nos produits, nos plates-formes et notre infrastructure cloud à des tests contradictoires réalistes pour faire apparaître et éliminer les chemins d'attaque avant que de véritables adversaires ne les trouvent. Vous travaillerez en partenariat avec l'ingénierie, les produits et la direction pour transformer les résultats en correctifs durables et façonner la manière dont la sécurité est conçue dans chaque produit Docker.

Vous appliquerez votre expertise en matière de tests d’intrusion, de modélisation des menaces et de développement d’exploits pour détecter et éliminer les risques dans les produits et l’infrastructure Docker. En travaillant sur l'infrastructure cloud (AWS, GCP, Azure), les environnements conteneurisés et les produits IA/ML, vous mettrez en œuvre des solutions de sécurité proactives qui évoluent avec la croissance de Docker.

Ce rôle offre l'opportunité de contribuer à l'amélioration des programmes de sécurité dans une entreprise dont les produits jouissent de la confiance de millions de développeurs dans le monde. Vous travaillerez dans un environnement techniquement exigeant et en évolution rapide, où votre expertise en matière de sécurité aura un impact direct sur la plate-forme Docker et sur l’écosystème plus large des conteneurs.

RESPONSABILITÉS :

– Contribuer aux initiatives de sécurité qui correspondent aux objectifs commerciaux, en garantissant que la sécurité est un élément essentiel de nos produits et de notre infrastructure.

– Soutenir et aider à mettre en œuvre des programmes de sécurité clés tels que les revues automatisées de conception de sécurité et la gestion des vulnérabilités

– Développer une connaissance approfondie de la sécurité et de l’architecture des logiciels et agir en tant que ressource incontournable pour les équipes d’ingénierie

– Collaborer avec l’ingénierie pour concevoir et mettre en œuvre une architecture et des contrôles de sécurité sur les produits et plates-formes Docker

– Planifier, définir et exécuter des tests d’intrusion et des engagements d’émulation d’équipe rouge/adversaire contre les produits et services de Docker

– Développez des exploits de validation de principe et produisez des résultats clairs et classés en termes de risque avec des conseils de remédiation exploitables, puis testez à nouveau les correctifs pour confirmer la fermeture.

– Créer et maintenir des outils de sécurité offensifs et une automatisation pour étendre la couverture et la répétabilité des tests

– Effectuer des examens de sécurité et une modélisation des menaces (conception, architecture et code) sur les produits et services Docker, y compris les produits d'IA émergents, et rédiger des tests et des exploits de sécurité automatisés.

– Servir selon un horaire de garde tournant pour répondre aux événements de sécurité, enquêter sur les menaces et coordonner les efforts de remédiation

– Former et collaborer avec des équipes interfonctionnelles (par exemple, ingénierie, produit) pour promouvoir les pratiques de sécurité

– Participer à la réponse aux incidents de sécurité

QUALIFICATIONS

- Avoir plus de 3 ans d'expérience en ingénierie de sécurité, y compris des tests pratiques de sécurité offensive et d'intrusion sur les applications et l'infrastructure

– Posséder plus de 2 ans d’expérience pratique en développement en Python ou Golang

– Démontrer une expertise approfondie en matière d’authentification et d’autorisation, y compris des technologies comme OAuth, des applications de cryptographie et des principes Zero Trust.

– Avoir une solide expérience pratique de la sécurisation des écosystèmes cloud (par exemple AWS, GCP, Azure)

– Avoir une expérience pratique des tests d’intrusion sur les applications Web et les API SaaS, y compris l’exploitation manuelle au-delà des scanners automatisés

– Sont compétents avec les outils et techniques offensifs tels que. Burp Suite et les frameworks OWASP

– Peut rédiger des tests de sécurité et développer des exploits et des preuves de concept qui détectent de réelles vulnérabilités dans un produit

– Comprendre les risques et les atténuations de sécurité de l'IA/ML, y compris l'injection rapide, l'empoisonnement des données, l'extraction de modèles et les attaques contradictoires

– Avoir une expérience pratique de l’utilisation des LLM et des outils agents pour automatiser les flux de travail de découverte, de reconnaissance et de test d’intrusion des vulnérabilités

– Avoir une expérience dans la création de programmes de sécurité et d’automatisations à partir de zéro, en appliquant une priorisation basée sur les risques

– Avoir de l’expérience dans la réalisation d’examens de sécurité et dans la création ou l’amélioration de l’automatisation des examens de sécurité

– Avoir d’excellentes compétences en communication, vous permettant d’expliquer clairement les concepts de sécurité complexes aux parties prenantes techniques et non techniques

– Comprendre les normes de l’industrie et suivre activement les technologies et modèles de sécurité émergents

– Vous avez l’esprit d’équipe et pilotez le changement en matière de sécurité via la collaboration et des partenariats interfonctionnels

– Détenir des certifications de sécurité offensives telles que OSCP, OSWE, OSEP, GXPN, GPEN ou CRTO

– Avoir publié des CVE, des recherches originales sur la sécurité ou des conférences

Bonus si vous :

– Avoir de l’expérience avec l’évasion de conteneurs, les chemins d’attaque Kubernetes ou le cloud red teaming

– Avoir de l'expérience dans le test des systèmes AI/ML pour des problèmes tels que l'injection rapide, l'extraction de modèles et l'empoisonnement des données

À QUOI S'ATTENDRE

30 PREMIERS JOURS :

– Rencontrer l’équipe de sécurité et les partenaires clés de l’ingénierie

– Accédez aux systèmes appartenant à l’équipe et à la documentation interne

– Formation complète de sensibilisation à la sécurité et intégration de la conformité

– Examiner l’architecture des applications, la pile technologique et le flux de données

– Examiner le registre des risques et la feuille de route annuelle

– Se familiariser avec les flux de travail et les processus de l’équipe

– Observer un collègue ingénieur de sécurité pendant ses rotations de garde/secops

90 PREMIERS JOURS :

– Effectuer un examen de sécurité sur les produits Docker émergents…

Source : Emplois à distance dans l'UE (https://euremotejobs.com/job/senior-security-engineer-offensive-security/)