Saldırgan Güvenlik Mühendisi

Şerit Hakkında

Stripe, işletmelere yönelik bir finansal altyapı platformudur. Dünyanın en büyük kuruluşlarından en iddialı girişimlere kadar milyonlarca şirket, ödemeleri kabul etmek, gelirlerini artırmak ve yeni iş fırsatlarını hızlandırmak için Stripe'ı kullanıyor. Misyonumuz internetin GSYH'sini artırmaktır ve önümüzde çok şaşırtıcı işler var. Bu, kariyerinizin en önemli işini yaparken küresel ekonomiyi herkesin erişimine sunmak için benzeri görülmemiş bir fırsata sahip olduğunuz anlamına gelir.

Takım Hakkında

Proaktif Tehdit ekibi, Stripe'ın sistemleri, uygulamaları, ağları ve bulut altyapısındaki güvenlik açıklarını ve güvenlik zayıflıklarını rakiplerden önce tespit etmekten sorumludur. Hibrit bir saldırı işlevi olarak çalışıyoruz: Sızma testleri yürütüyoruz, kırmızı ekip operasyonları aracılığıyla gerçek dünyadaki tehdit aktörlerini taklit ediyoruz ve tespit yeteneklerini doğrulamak ve Stripe'ın genel güvenlik duruşunu iyileştirmek için savunma güvenlik ekiplerimizle yakın işbirliği yapıyoruz.

Biz öncelikle inşaatçıyız. Ekibimiz, saldırı yeteneklerimizi ölçeklendiren ve tekrarlanabilir, yüksek doğruluklu değerlendirmelere olanak tanıyan özel araçlar, otomasyon çerçeveleri ve dahili platformlar geliştiriyor. En iyi saldırgan güvenlik mühendislerinin eşit oranda hacker ve mühendis olduğuna inanıyoruz.

Ekip, Amerika Birleşik Devletleri'nin her yerine dağılmış durumda ve öncelikle Doğu ve Pasifik zaman dilimlerinde faaliyet gösteriyor ve Avrupa ve Asya'daki ekipler de dahil olmak üzere Stripe genelindeki güvenlik, mühendislik ve ürün paydaşlarıyla düzenli olarak işbirliği yapıyor.

Ne yapacaksın

Proaktif Tehdit ekibindeki bir Saldırı Güvenlik Mühendisi olarak, Stripe'ın ürünleri ve altyapısındaki güvenlik risklerini ortaya çıkarmak için gerçek dünyadaki rakiplerin taktiklerini, tekniklerini ve prosedürlerini (TTP'ler) simüle edeceksiniz. Uygulamalı penetrasyon testleri yürütecek, kırmızı ekip çalışmalarına liderlik edecek ve tespit ve yanıt yeteneklerini doğrulamak ve geliştirmek için mavi ekipteki meslektaşlarınızla işbirliği yapacaksınız. Çalışmanız, Stripe'ın dünya çapında milyonlarca işletme tarafından kullanılan finansal altyapıyı nasıl oluşturduğunu, naklettiğini ve güvence altına aldığını doğrudan etkileyecektir.

Değerlendirmelerin ötesinde, ekibin etkisini artıran hücum araçları ve otomasyonu tasarlayacak ve oluşturacaksınız. Test çalışmalarına öncelik vermek, gerektiğinde olay araştırmalarına katkıda bulunmak ve şirket genelindeki güvenlik girişimlerinde konu uzmanı olarak hareket etmek için tehdit istihbaratından yararlanacaksınız.

Sorumluluklar

• Web uygulamaları, API'ler, bulut ortamları (AWS/GCP/Azure), mobil uygulamalar ve dahili altyapı genelinde kapsamlı sızma testleri gerçekleştirin

• İlk erişim, yatay hareket, kalıcılık ve veri sızdırma senaryoları dahil olmak üzere finansal hizmetleri hedef alan siber ve suç teşkil eden tehdit aktörlerinin TTP'lerini taklit eden kırmızı ekip çalışmalarını planlayın ve yürütün

• Savunma ekipleriyle koordinasyon içinde tespit ve müdahale yeteneklerini test etmek için varsayılan ihlal ve hedefe dayalı değerlendirmeler gerçekleştirin

• Güvenlik kontrollerini doğrulamak, kapsam boşluklarını belirlemek ve tespit doğruluğunu artırmak için tespit mühendisliği, tehdit istihbaratı ve olay müdahale ekipleriyle işbirliği yapın

• Tespit kuralı geliştirme, tehdit avlama hipotezleri ve olay müdahale taktik kitaplarını bilgilendirmek için rakip ticari anlayışlara katkıda bulunun

• Gerektiğinde saldırı uzmanlığı, günlük analizi ve temel neden analizi sağlayarak olay araştırmalarını destekleyin

• Değerlendirme verimliliğini ve kapsamını geliştirmek için özel saldırı araçları, komut dosyaları ve otomasyon çerçeveleri tasarlayın, geliştirin ve sürdürün

• Ölçeklenebilir, tekrarlanabilir saldırı operasyonlarına olanak tanıyan dahili platformlar ve iş akışları oluşturun

• Dahili güvenlik araçları havuzlarına katkıda bulunun ve ekip içindeki en iyi mühendislik uygulamalarını destekleyin

• Modern geliştirme uygulamalarını kullanarak tekrarlayan test görevlerini, yük oluşturmayı ve raporlama iş akışlarını otomatikleştirin

• Teknik bulguları, iş riskini ve iyileştirme rehberliğini hem teknik hem de teknik olmayan paydaşlara ileten net, eyleme geçirilebilir raporlar üretin

• Saldırgan güvenlik programları ve Stripe çapında güvenlik girişimlerine katılan paydaş ekipleri için konunun uzmanı ve birincil iletişim noktası olarak hareket etmek

• Saldırgan güvenlik projelerine uçtan uca liderlik edin, genç ekip üyelerine mentorluk yapın ve sürekli öğrenme ve bilgi paylaşımı kültürünü teşvik edin

• Ortaya çıkan tehditler, güvenlik açıkları ve saldırı teknikleri konusunda güncel kalın; Araştırmayı şirket içinde paylaşın ve daha geniş güvenlik topluluğuna katkıda bulunun

sen kimsin

Rol için dikkate alınacak minimum gereksinimleri karşılayan birini arıyoruz. Bu şartları karşılıyorsanız başvuruda bulunmanız teşvik edilir. Tercih edilen nitelikler bir zorunluluk değil, bir bonustur.

Minimum Gereksinimler

• Saldırı güvenliği, sızma testi, kırmızı ekip oluşturma veya ilgili bir alanda 5 yıldan fazla deneyim

• Python, Go veya benzer dillerde kanıtlanmış deneyim geliştirme araçları, otomasyon veya özel istismarlarla birlikte güçlü programlama becerileri

• OWASP Top 10, ASVS ve yaygın güvenlik açığı sınıfları (yerleştirme, kimlik doğrulama kusurları, iş mantığı vb.) dahil olmak üzere web uygulaması güvenliği konusunda derin bilgi

• Bulutta yerel saldırı teknikleri ve yanlış yapılandırmalar da dahil olmak üzere bulut platformlarıyla (AWS, Azure veya GCP) uygulamalı deneyim

• Burp Suite, Cobalt Strike, Mythic, Sliver, BloodHound veya benzeri çerçeveler gibi saldırı araçları konusunda yeterlilik

• İlk erişim, ayrıcalık yükseltme, yanal hareket ve sızma için TTP'ler de dahil olmak üzere MITRE ATT&CK gibi rakip ticaret yöntemlerine ve çerçevelere aşinalık

• Karmaşık teknik bulguları net, riske dayalı önerilere dönüştürme becerisiyle birlikte mükemmel yazılı ve sözlü iletişim becerileri

• Rakip gibi düşünebilme, yaratıcı, ısrarcı ve karmaşık ortamlarda riski bütünsel olarak değerlendirebilme becerisi

Aranan Nitelikler…

Kaynak: Jobspresso (https://jobspresso.co/job/offensive-security-engineer/)