Inżynier bezpieczeństwa ofensywnego

O Stripe'ie

Stripe to platforma infrastruktury finansowej dla firm. Miliony firm, od największych przedsiębiorstw na świecie po najbardziej ambitne start-upy, używają Stripe do akceptowania płatności, zwiększania przychodów i przyspieszania tworzenia nowych możliwości biznesowych. Naszą misją jest zwiększanie PKB Internetu i mamy przed sobą oszałamiającą ilość pracy. Oznacza to, że masz bezprecedensową możliwość udostępnienia globalnej gospodarki każdemu, wykonując najważniejszą pracę w swojej karierze.

O zespole

Zespół ds. zapobiegania zagrożeniom jest odpowiedzialny za identyfikowanie luk w zabezpieczeniach i słabych punktów bezpieczeństwa w systemach, aplikacjach, sieciach i infrastrukturze chmury Stripe, zanim zrobią to przeciwnicy. Działamy w ramach hybrydowej ofensywy: przeprowadzamy testy penetracyjne, emulujemy aktorów zagrażających w świecie rzeczywistym poprzez operacje zespołu czerwonego i ściśle współpracujemy z naszymi zespołami ds. bezpieczeństwa defensywnego w celu sprawdzenia możliwości wykrywania i poprawy ogólnego stanu bezpieczeństwa Stripe.

Jesteśmy przede wszystkim budowniczymi. Nasz zespół opracowuje niestandardowe narzędzia, ramy automatyzacji i platformy wewnętrzne, które skalują nasze możliwości ofensywne i umożliwiają powtarzalne oceny o wysokiej wierności. Wierzymy, że najlepsi ofensywni inżynierowie bezpieczeństwa są w równym stopniu hakerami, jak i inżynierami.

Zespół jest rozproszony po całych Stanach Zjednoczonych, działa głównie we wschodniej i pacyficznej strefie czasowej i regularnie współpracuje z interesariuszami zajmującymi się bezpieczeństwem, inżynierią i produktami w całym Stripe, w tym z zespołami w Europie i Azji.

Co zrobisz

Jako inżynier bezpieczeństwa ofensywnego w zespole Proactive Threat będziesz symulować taktykę, techniki i procedury (TTP) przeciwników w świecie rzeczywistym, aby odkryć zagrożenia bezpieczeństwa w produktach i infrastrukturze Stripe. Będziesz przeprowadzać praktyczne testy penetracyjne, kierować działaniami czerwonego zespołu i współpracować z odpowiednikami niebieskiego zespołu w celu sprawdzania i ulepszania możliwości wykrywania i reagowania. Twoja praca będzie miała bezpośredni wpływ na sposób, w jaki Stripe buduje, dostarcza i zabezpiecza infrastrukturę finansową, z której korzystają miliony firm na całym świecie.

Oprócz ocen będziesz projektować i budować ofensywne narzędzia i automatyzację, które wzmacniają wpływ zespołu. Wykorzystasz analizę zagrożeń, aby nadać priorytet testom, w razie potrzeby uczestniczyć w dochodzeniach w sprawie incydentów i pełnić funkcję eksperta merytorycznego w zakresie inicjatyw związanych z bezpieczeństwem w całej firmie.

Obowiązki

• Przeprowadzaj kompleksowe testy penetracyjne aplikacji internetowych, interfejsów API, środowisk chmurowych (AWS/GCP/Azure), aplikacji mobilnych i infrastruktury wewnętrznej

• Planuj i realizuj działania zespołu czerwonego, które emulują TTP cyberprzestępców i cyberprzestępców atakujących usługi finansowe, w tym scenariusze początkowego dostępu, ruchu bocznego, trwałości i eksfiltracji danych

• Przeprowadzaj oceny oparte na założeniach naruszeń i obiektywne, aby przetestować możliwości wykrywania i reagowania w koordynacji z zespołami defensywnymi

• Współpracuj z zespołami zajmującymi się inżynierią wykrywania, analizą zagrożeń i reagowaniem na incydenty, aby weryfikować mechanizmy bezpieczeństwa, identyfikować luki w zasięgu i poprawiać dokładność wykrywania

• Wkład w spostrzeżenia dotyczące handlu przeciwnikami w celu opracowania reguł wykrywania, hipotez dotyczących polowania na zagrożenia i podręczników reagowania na incydenty

• Wspieraj dochodzenia w sprawie incydentów, dostarczając ofensywnej wiedzy specjalistycznej, analizy dzienników i analizy przyczyn źródłowych, jeśli jest to wymagane

• Projektuj, rozwijaj i utrzymuj niestandardowe narzędzia ofensywne, skrypty i struktury automatyzacji w celu zwiększenia wydajności i zasięgu oceny

• Twórz wewnętrzne platformy i przepływy pracy, które umożliwiają skalowalne, powtarzalne operacje ofensywne

• Udział w tworzeniu wewnętrznych repozytoriów narzędzi bezpieczeństwa i najlepszych praktyk inżynieryjnych w zespole

• Automatyzuj powtarzalne zadania testowe, generowanie ładunku i przepływy pracy związane z raportowaniem, korzystając z nowoczesnych praktyk programistycznych

• Twórz jasne, przydatne raporty, które przedstawiają ustalenia techniczne, ryzyko biznesowe i wskazówki dotyczące środków zaradczych zarówno zainteresowanym stronom technicznym, jak i nietechnicznym

• Działać jako ekspert merytoryczny i główny punkt kontaktowy dla zespołów interesariuszy zaangażowanych w ofensywne programy bezpieczeństwa i inicjatywy bezpieczeństwa obejmujące cały Stripe

• Kompleksowo prowadź ofensywne projekty dotyczące bezpieczeństwa, opiekuj się młodszymi członkami zespołu i rozwijaj kulturę ciągłego uczenia się i dzielenia się wiedzą

• Bądź na bieżąco z pojawiającymi się zagrożeniami, słabymi punktami i technikami ataków; dzielić się badaniami wewnętrznie i wnosić wkład w szerszą społeczność zajmującą się bezpieczeństwem

Kim jesteś

Poszukujemy osoby spełniającej minimalne wymagania, aby zostać uwzględnionym na tym stanowisku. Jeśli spełniasz te wymagania, zachęcamy do aplikowania. Preferowane kwalifikacje są bonusem, a nie wymogiem.

Minimalne wymagania

• Ponad 5 lat doświadczenia w bezpieczeństwie ofensywnym, testach penetracyjnych, tworzeniu zespołów czerwonych lub w pokrewnej dziedzinie

• Silne umiejętności programowania w Pythonie, Go lub podobnych językach, z zademonstrowanym doświadczeniem w zakresie narzędzi do budowania, automatyzacji lub niestandardowych exploitów

• Dogłębna wiedza na temat bezpieczeństwa aplikacji internetowych, w tym OWASP Top 10, ASVS i typowych klas podatności (wstrzykiwanie, błędy uwierzytelniania, logika biznesowa itp.)

• Praktyczne doświadczenie z platformami chmurowymi (AWS, Azure lub GCP), w tym natywne techniki ataków i błędne konfiguracje w chmurze

• Biegłość w posługiwaniu się narzędziami ofensywnymi, takimi jak Burp Suite, Cobalt Strike, Mythic, Sliver, BloodHound lub podobnymi frameworkami

• Znajomość wrogiego handlu i struktur, takich jak MITRE ATT&CK, w tym TTP w zakresie początkowego dostępu, eskalacji przywilejów, ruchu bocznego i eksfiltracji

• Doskonałe umiejętności komunikacji pisemnej i werbalnej, ze zdolnością do przekładania złożonych ustaleń technicznych na jasne, oparte na ryzyku zalecenia

• Umiejętność myślenia jak przeciwnik, kreatywność, wytrwałość i zdolność do całościowej oceny ryzyka w złożonych środowiskach

Preferowane kwalifikacje…

Źródło: Jobspresso (https://jobspresso.co/job/offensive-security-engineer/)