Старший інженер безпеки відділу наступальної безпеки

ПРО ДОКЕР

Docker є одним із найулюбленіших брендів інструментів для розробників, якому щомісяця довіряють понад 20 мільйонів користувачів і понад 20 мільярдів завантажених зображень контейнерів. Від окремих засновників до найбільших світових компаній, розробники покладаються на Docker для створення, спільного використання та запуску своїх програм у нашому наборі продуктів, включаючи Docker Desktop, Docker Hub і Docker Scout.

Ми є глобально розповсюдженою дистанційною командою, яка створює інструменти, які визначають, як програмне забезпечення створюється та постачається. Оскільки агенти штучного інтелекту переосмислюють розробку програмного забезпечення, Docker знаходиться в центрі цієї зміни, надаючи пісочниці, перевірені зображення та безпечну інфраструктуру, що робить автономні робочі процеси надійними за замовчуванням.

_______________________________________________________________________

Як старший інженер із безпеки відділу наступальної безпеки, ви допомагатимете створювати наступальну безпеку в Docker, піддаючи наші продукти, платформи та хмарну інфраструктуру реалістичному суперницькому тестуванню, щоб виявити й усунути шляхи атак до того, як їх знайдуть справжні зловмисники. Ви співпрацюватимете з інженерами, продуктами та лідерами, щоб перетворити результати на довгострокові виправлення та сформувати систему безпеки в кожному продукті Docker.

Ви застосуєте свій досвід у тестуванні на проникнення, моделюванні загроз і розробці експлойтів, щоб знайти й усунути ризики в продуктах та інфраструктурі Docker. Працюючи в хмарній інфраструктурі (AWS, GCP, Azure), контейнерних середовищах і продуктах AI/ML, ви впроваджуватимете проактивні рішення безпеки, які масштабуються разом із зростанням Docker.

Ця роль дає можливість допомогти покращити програми безпеки в компанії, чиїм продуктам довіряють мільйони розробників у всьому світі. Ви працюватимете у швидкоплинному, технічно складному середовищі, де ваші знання безпеки безпосередньо впливають як на платформу Docker, так і на ширшу екосистему контейнерів.

ОБОВ'ЯЗКИ:

– Сприяти ініціативам безпеки, які відповідають бізнес-цілям, допомагаючи переконатися, що безпека є основним компонентом наших продуктів та інфраструктури

– Підтримуйте та допомагайте впроваджувати ключові програми безпеки, такі як автоматизовані перевірки проектів безпеки та керування вразливими місцями

– Отримайте глибокі знання про безпеку та архітектуру програмного забезпечення та виступайте в якості основного ресурсу для команд інженерів

– Співробітництво з інженерами для розробки та впровадження архітектури безпеки та елементів керування для продуктів і платформ Docker

– Плануйте, охоплюйте та виконуйте тести на проникнення, а також залучення червоної команди/емуляції супротивника до продуктів і послуг Docker

– Розробіть експлойти для підтвердження концепції та отримайте чіткі висновки з оцінкою ризику з дієвими вказівками щодо виправлення, а потім повторно протестуйте виправлення, щоб підтвердити закриття

– Створюйте та підтримуйте наступальні інструменти безпеки та автоматизацію для розширення охоплення тестування та повторюваності

– Виконуйте перевірки безпеки та моделюйте загрози (дизайн, архітектура та код) у продуктах і службах Docker, включаючи нові продукти ШІ, а також створюйте автоматизовані тести безпеки та експлойти

– Дійте за графіком чергування за викликом, щоб реагувати на події безпеки, розслідувати загрози та координувати зусилля з усунення проблем

– Навчайте та співпрацюйте з міжфункціональними командами (наприклад, інженерними, продуктовими) для просування методів безпеки

– Участь у реагуванні на інцидент безпеки

КВАЛІФІКАЦІЯ

– Мати 3+ роки в інженерії безпеки, включаючи практичні наступальні заходи безпеки та тестування на проникнення в програмах та інфраструктурі

– Володіти 2+ роками практичного досвіду розробки на Python або Golang

– Продемонструвати глибокий досвід автентифікації, авторизації, включаючи такі технології, як OAuth, криптографічні програми та принципи нульової довіри.

– Майте потужний практичний досвід захисту хмарних екосистем (наприклад, AWS, GCP, Azure)

– Отримайте практичний досвід тестування на проникнення через веб-додатки та API SaaS, включаючи використання вручну за межами автоматизованих сканерів

– Досконало володіють атакуючими інструментами та прийомами, такими як. Burp Suite і фреймворки OWASP

– Може писати тести безпеки та розробляти експлойти та докази концепцій, які знаходять реальні вразливості в продукті

– Зрозумійте ризики безпеки AI/ML та засоби їх пом’якшення, включаючи миттєве впровадження, підтасування даних, вилучення моделі та агресивні атаки

– Майте практичний досвід використання магістрів права та агентських інструментів для автоматизації робочих процесів виявлення вразливостей, розвідки та пентестування.

– Мати досвід створення програм безпеки та автоматизації з нуля, застосовуючи пріоритетність на основі ризиків

– Мати досвід виконання перевірок безпеки та створення або вдосконалення автоматизації перевірки безпеки

– Володіти відмінними навичками спілкування, що дозволяє чітко пояснювати складні концепції безпеки технічним і нетехнічним зацікавленим сторонам

– Розуміти галузеві стандарти та активно йти в ногу з новими технологіями та моделями безпеки

– Є командним гравцем, який керує змінами безпеки через співпрацю та міжфункціональне партнерство

– Мати образливі сертифікати безпеки, такі як OSCP, OSWE, OSEP, GXPN, GPEN або CRTO

– Опублікувати CVE, оригінальні дослідження безпеки або виступи на конференції

Бонус, якщо ви:

– Майте досвід втечі з контейнера, шляхів атаки Kubernetes або об’єднання в хмару червоного кольору

– Мати досвід тестування систем штучного інтелекту/ML на предмет таких проблем, як оперативне введення, вилучення моделі та пошкодження даних

ЧОГО ОЧІКУВАТИ

ПЕРШІ 30 ДНІВ:

– Зустріньтеся з командою безпеки та ключовими партнерами з інженерних питань

– Отримайте доступ до командних систем і внутрішньої документації

– Повне навчання з питань безпеки та адаптація до відповідності

– Перегляньте архітектуру програми, стек технологій і потік даних

– Перегляд реєстру ризиків і щорічної дорожньої карти

– Ознайомлення з робочими процесами та процесами команди

– Слідкуйте за колегою-інженером із безпеки під час ротації за викликом/secops

ПЕРШІ 90 ДНІВ:

– Проведіть перевірку безпеки нових продуктів Docker…

Джерело: Віддалена робота в ЄС (https://euremotejobs.com/job/senior-security-engineer-offensive-security/)