Инженер по наступательной безопасности

О полосе

Stripe — это платформа финансовой инфраструктуры для бизнеса. Миллионы компаний, от крупнейших в мире до самых амбициозных стартапов, используют Stripe для приема платежей, увеличения своих доходов и открытия новых бизнес-возможностей. Наша миссия — увеличить ВВП Интернета, и впереди нас ждет ошеломляющий объем работы. Это означает, что у вас есть беспрецедентная возможность сделать глобальную экономику доступной каждому, одновременно выполняя самую важную работу в своей карьере.

О команде

Команда Proactive Threat отвечает за выявление уязвимостей и недостатков безопасности в системах, приложениях, сетях и облачной инфраструктуре Stripe до того, как это сделают злоумышленники. Мы действуем как гибридная наступательная функция: проводим тестирование на проникновение, имитируем реальных субъектов угроз посредством операций красной команды и тесно сотрудничаем с нашими группами защитной безопасности для проверки возможностей обнаружения и улучшения общего состояния безопасности Stripe.

Мы в первую очередь строители. Наша команда разрабатывает специальные инструменты, среды автоматизации и внутренние платформы, которые масштабируют наши наступательные возможности и обеспечивают повторяемые и высокоточные оценки. Мы считаем, что лучшие инженеры по наступательной безопасности — это в равной степени и хакеры, и инженеры.

Команда распределена по Соединенным Штатам, в основном работает в восточных и тихоокеанских часовых поясах, и регулярно сотрудничает с заинтересованными сторонами в области безопасности, разработки и разработки продуктов в Stripe, включая команды в Европе и Азии.

Что вы будете делать

В качестве инженера по наступательной безопасности в команде Proactive Threat вы будете моделировать тактику, методы и процедуры (TTP) реальных злоумышленников, чтобы выявлять угрозы безопасности в продуктах и ​​инфраструктуре Stripe. Вы будете проводить практическое тестирование на проникновение, руководить работой красной команды и сотрудничать с коллегами из синей команды для проверки и улучшения возможностей обнаружения и реагирования. Ваша работа будет напрямую влиять на то, как Stripe создает, поставляет и защищает финансовую инфраструктуру, используемую миллионами предприятий по всему миру.

Помимо оценок, вы будете проектировать и создавать наступательные инструменты и средства автоматизации, которые усиливают влияние команды. Вы будете использовать аналитику угроз для определения приоритетов тестирования, участвовать в расследовании инцидентов, когда это необходимо, и выступать в качестве профильного эксперта для инициатив по обеспечению безопасности во всей компании.

Обязанности

• Проводить комплексные тесты на проникновение веб-приложений, API, облачных сред (AWS/GCP/Azure), мобильных приложений и внутренней инфраструктуры.

• Планировать и выполнять действия красной команды, имитирующие ДТС кибер- и криминальных субъектов, нацеленных на финансовые услуги, включая сценарии первоначального доступа, горизонтального перемещения, устойчивости и кражи данных.

• Выполнение предполагаемых нарушений и объективных оценок для проверки возможностей обнаружения и реагирования в координации с защитными группами.

• Сотрудничайте с группами инженеров по обнаружению, анализу угроз и реагированием на инциденты для проверки мер безопасности, выявления пробелов в покрытии и повышения точности обнаружения.

• Предоставление аналитической информации о злоумышленниках для разработки правил обнаружения, гипотез поиска угроз и сценариев реагирования на инциденты.

• Поддержка расследований инцидентов путем предоставления наступательных экспертных знаний, анализа журналов и анализа первопричин, когда это необходимо.

• Проектирование, разработка и поддержка пользовательских оскорбительных инструментов, сценариев и сред автоматизации для повышения эффективности и охвата оценки.

• Создавайте внутренние платформы и рабочие процессы, обеспечивающие масштабируемые и повторяемые наступательные операции.

• Вносить вклад во внутренние репозитории инструментов безопасности и продвигать лучшие инженерные практики внутри команды.

• Автоматизируйте повторяющиеся задачи тестирования, создание полезных данных и рабочие процессы отчетности, используя современные методы разработки.

• Создавать четкие, действенные отчеты, в которых сообщаются технические выводы, бизнес-риски и рекомендации по исправлению как техническим, так и нетехническим заинтересованным сторонам.

• Выступать в качестве профильного эксперта и основного контактного лица для групп заинтересованных сторон, участвующих в наступательных программах безопасности и инициативах по безопасности в масштабах всего Stripe.

• Комплексно руководить проектами по наступательной безопасности, наставлять младших членов команды и способствовать развитию культуры непрерывного обучения и обмена знаниями.

• Будьте в курсе возникающих угроз, уязвимостей и методов атак; обмениваться исследованиями внутри компании и вносить вклад в более широкое сообщество безопасности

Кто ты

Мы ищем человека, который соответствует минимальным требованиям для рассмотрения на эту роль. Если вы соответствуете этим требованиям, вам рекомендуется подать заявку. Предпочтительная квалификация является бонусом, а не обязательным требованием.

Минимальные требования

• Более 5 лет опыта в области наступательной безопасности, тестирования на проникновение, красной команды или смежных областях.

• Сильные навыки программирования на Python, Go или подобных языках, а также продемонстрированный опыт создания инструментов, автоматизации или пользовательских эксплойтов.

• Глубокие знания в области безопасности веб-приложений, включая OWASP Top 10, ASVS и общие классы уязвимостей (внедрение, ошибки аутентификации, бизнес-логика и т. д.).

• Практический опыт работы с облачными платформами (AWS, Azure или GCP), включая методы облачных атак и неправильные конфигурации.

• Владение агрессивными инструментами, такими как Burp Suite, Cobalt Strike, Mythic, Sliver, BloodHound или аналогичными платформами.

• Знакомство с профессиональными технологиями и системами противника, такими как MITRE ATT&CK, включая TTP для первоначального доступа, повышения привилегий, горизонтального перемещения и эксфильтрации.

• Отличные письменные и устные коммуникативные навыки, способность переводить сложные технические результаты в четкие рекомендации, основанные на рисках.

• Способность мыслить как противник, творческий подход, настойчивость и способность целостно оценивать риск в сложных условиях.

Предпочтительная квалификация…

Источник: Jobspresso (https://jobspresso.co/job/offensive-security-engineer/).