Наступальний інженер безпеки

Про Stripe

Stripe — це платформа фінансової інфраструктури для бізнесу. Мільйони компаній, від найбільших компаній світу до найамбітніших стартапів, використовують Stripe, щоб приймати платежі, збільшувати свої доходи та пришвидшувати нові бізнес-можливості. Наша місія полягає в тому, щоб збільшити ВВП Інтернету, і попереду у нас приголомшлива кількість роботи. Це означає, що у вас є безпрецедентна можливість зробити глобальну економіку доступною для кожного, виконуючи найважливішу роботу у своїй кар’єрі.

Про команду

Команда Proactive Threat відповідає за виявлення вразливостей і слабких місць безпеки в системах, програмах, мережах і хмарній інфраструктурі Stripe до того, як це зроблять зловмисники. Ми працюємо як гібридна наступальна функція: проводимо тестування на проникнення, імітуємо реальних загроз за допомогою операцій червоної команди та тісно співпрацюємо з нашими захисними командами безпеки, щоб перевірити можливості виявлення та покращити загальну безпеку Stripe.

Ми перш за все будівельники. Наша команда розробляє спеціальні інструменти, інфраструктури автоматизації та внутрішні платформи, які масштабують наші наступальні можливості та забезпечують повторювані високоточні оцінки. Ми віримо, що найкращі інженери з наступальної безпеки в рівній мірі є хакером та інженером.

Команда розподілена по всій території Сполучених Штатів, головним чином у східному та тихоокеанському часових поясах, і регулярно співпрацює з зацікавленими сторонами безпеки, розробки та продуктів у Stripe, включаючи команди в Європі та Азії.

Що ви будете робити

Як інженер з безпеки в команді Proactive Threat, ви моделюватимете тактику, прийоми та процедури (TTP) реальних противників, щоб виявити ризики безпеці в продуктах та інфраструктурі Stripe. Ви проведете практичне тестування на проникнення, керуватимете взаємодіями з червоною командою та співпрацюватимете з колегами з синьої команди, щоб перевірити та покращити можливості виявлення та реагування. Ваша робота безпосередньо вплине на те, як Stripe будує, постачає та захищає фінансову інфраструктуру, якою користуються мільйони компаній у всьому світі.

Окрім оцінювання, ви розроблятимете й створюватимете наступальні інструменти та автоматизацію, які посилять вплив команди. Ви використовуватимете дані про загрози, щоб визначати пріоритети тестування, сприяти розслідуванню інцидентів, якщо це необхідно, і виступати в якості експерта з питань безпеки для ініціатив у всій компанії.

Обов'язки

• Проводьте комплексні тести на проникнення для веб-додатків, API, хмарних середовищ (AWS/GCP/Azure), мобільних додатків і внутрішньої інфраструктури

• Плануйте та виконуйте заходи червоної команди, які імітують TTP суб’єктів кібернетичної та кримінальної загрози, націлених на фінансові послуги, включаючи сценарії початкового доступу, бокового переміщення, стійкості та викрадання даних.

• Виконуйте оцінку передбачуваного порушення та об’єктивну оцінку для перевірки можливостей виявлення та реагування в координації з командами захисту

• Співпрацюйте з групами інженерів виявлення, аналізу загроз і реагування на інциденти для перевірки засобів контролю безпеки, виявлення прогалин у охопленні та підвищення точності виявлення

• Додайте інформацію про ворогів для розробки правил виявлення, гіпотез полювання на загрози та підручників з реагування на інциденти

• Підтримуйте розслідування інцидентів, забезпечуючи атакувальну експертизу, аналіз журналів і аналіз першопричин, коли це необхідно

• Проектування, розробка та підтримка спеціальних наступальних інструментів, сценаріїв і систем автоматизації для підвищення ефективності оцінювання та охоплення

• Створюйте внутрішні платформи та робочі процеси, які дозволяють масштабовані, повторювані наступальні операції

• Зробіть внесок у сховища інструментів внутрішньої безпеки та відстоюйте передовий досвід проектування в команді

• Автоматизуйте повторювані завдання тестування, створення корисного навантаження та робочі процеси звітності за допомогою сучасних методів розробки

• Створюйте чіткі, практичні звіти, які повідомляють про технічні висновки, бізнес-ризики та вказівки щодо виправлення технічних і нетехнічних зацікавлених сторін

• Виступати в якості експерта з певної теми та основного контакту для команд зацікавлених сторін, які беруть участь у наступальних програмах безпеки та ініціативах із безпеки Stripe-wide

• Очолюйте наскрізні наступальні проекти безпеки, наставляйте молодших членів команди та розвивайте культуру постійного навчання та обміну знаннями

• Будьте в курсі нових загроз, вразливостей і методів атак; ділитися внутрішніми дослідженнями та сприяти ширшій спільноті безпеки

хто ти

Ми шукаємо людину, яка відповідає мінімальним вимогам для розгляду на посаду. Якщо ви відповідаєте цим вимогам, заохочуємо вас подати заявку. Бажані кваліфікації є бонусом, а не вимогою.

Мінімальні вимоги

• 5+ років досвіду в наступальній безпеці, тестуванні на проникнення, red teaming або суміжній сфері

• Хороші навички програмування на Python, Go чи подібних мовах із продемонстрованим досвідом створення інструментів, автоматизації чи спеціальних експлойтів

• Глибокі знання безпеки веб-додатків, включаючи OWASP Top 10, ASVS і загальні класи вразливостей (впровадження, помилки автентифікації, бізнес-логіка тощо)

• Практичний досвід роботи з хмарними платформами (AWS, Azure або GCP), включно з технікою атаки в хмарі та неправильними конфігураціями

• Вміння працювати з наступальними інструментами, такими як Burp Suite, Cobalt Strike, Mythic, Sliver, BloodHound або подібними фреймворками

• Знайомство з торговими механізмами противника та такими фреймворками, як MITER ATT&CK, включаючи TTP для початкового доступу, підвищення привілеїв, бокового переміщення та ексфільтрації

• Чудові навички письмового та усного спілкування зі здатністю перетворювати складні технічні висновки в чіткі рекомендації, що ґрунтуються на ризиках

• Здатність мислити як супротивник, креативна, наполеглива та здатна цілісно оцінювати ризик у складних умовах

Бажані кваліфікації…

Джерело: Jobspresso (https://jobspresso.co/job/offensive-security-engineer/)