Инженер AppSec

Что за роль

Инженер AppSec усилит направление информационной безопасности UPD Web3 Tech. Главный фокус — безопасность на уровне исходного кода, архитектуры и бизнес-логики: важно не только получать результаты SAST/DAST/SCA, но и понимать ограничения инструментов, находить их слепые зоны и помогать устранять уязвимости.

Что предстоит делать

• Выстраивать и поддерживать процессы безопасной разработки: SSDLC, quality gates и vulnerability management.
• Проводить design review сервисов и новых функций, оценивать архитектуру, протоколы взаимодействия и границы доверия.
• Выполнять ручной аудит кода и бизнес-логики, искать ошибки авторизации, race conditions, уязвимости JWT и сессий, криптографические ошибки, обходы MFA и проблемы хранения данных.
• Развивать практики безопасной разработки для Kotlin и TypeScript, формировать требования к хранению секретов и работе с сессиями.
• Настраивать безопасность CI/CD в GitLab, управление секретами через Vault и контроль цепочки поставки ПО.
• Триажить отчёты Bug Bounty, определять scope и взаимодействовать с исследователями; разбирать продуктовые инциденты и координировать устранение их причин.
• Консультировать разработчиков и обучать их практикам безопасной разработки.

Что потребуется

• Уверенно читать и анализировать код на Kotlin, TypeScript, Node.js и React.
• Понимать веб-уязвимости на уровне эксплуатации: в том числе path traversal, SQLi, SSRF, десериализацию, XXE, prototype pollution и RCE через зависимости.
• Иметь практический опыт ручного поиска уязвимостей, которые сложно выявить автоматическими средствами: ошибок бизнес-логики, race conditions, проблем аутентификации, JWT, сессий и криптографии.
• Знать возможности и ограничения SAST, DAST, SCA и IAST; иметь опыт настройки GitLab CI, DefectDojo или аналогичных инструментов.
• Уверенно работать с Linux и Git, понимать сетевые протоколы.

Что важно знать

В работе сочетаются secure design review, ручной аудит, настройка инструментов и развитие процессов безопасности. Дополнительным преимуществом будут знания Web3 и blockchain security, аудит смарт-контрактов, threat modeling, опыт Bug Bounty, публикации CVE или профильные выступления, а также знакомство с КриптоПро CSP и КриптоПро УЦ.

О компании

UPD Web3 Tech разрабатывает блокчейн-платформу «Конфидент», включённую в реестр российского ПО. Компания сообщает о проектах для Национальной системы дистанционного электронного голосования, Федеральной налоговой службы и платформе для работы с цифровыми финансовыми активами.

Предусмотрены официальное трудоустройство по ТК РФ, ДМС, частичная компенсация занятий спортом и профильного обучения. Компания аккредитована как ИТ-компания; также указаны гибкий график и удалённая работа.