Специалист по тестированию на проникновение

Что за роль

Нужен специалист по тестированию на проникновение для black-box-оценки облачной B2B SaaS-платформы. Проверка проводится извне через публичный интернет: без заранее предоставленных учётных данных и без внесения IP-адресов в список разрешённых. Основной фокус — уязвимости, способные привести к раскрытию данных или получению доступа к аккаунтам.

Что предстоит делать

• Проверить публичные поддомены, страницы входа, API и страницы сторонней авторизации.
• Провести автоматизированное сканирование уязвимостей и вручную проверить обнаруженные результаты.
• Исследовать потенциальные пути эксплуатации и подтвердить их работоспособность на тестовых аккаунтах или данных, не затрагивая информацию реальных клиентов.
• Зафиксировать доказательства для критичных и высокорисковых находок: скриншоты, запросы и ответы либо короткие демонстрационные видео.
• Подготовить итоговое резюме рисков и технический отчёт по каждой находке с шагами воспроизведения, анализом влияния и рекомендациями по устранению.
• При наличии времени провести повторную проверку после исправлений и оформить результаты ретеста.

Что потребуется

• Практические навыки тестирования на проникновение веб-приложений и API.
• Знание облачной, сетевой и веб-безопасности, а также методов проверки авторизации и защиты данных.
• Умение вручную подтверждать уязвимости и понятно документировать их эксплуатацию, последствия и способы устранения.
• Понимание требований комплаенса и правил безопасного тестирования; работа должна соответствовать применимому законодательству и условиям использования платформы.

Что важно знать

Это разовый проект с чёткими границами проверки и ожидаемыми результатами: отчёт, подтверждающие материалы по серьёзным находкам и, если позволит время, сводка повторного тестирования. Все проверки необходимо выполнять в рамках закона и условий сервиса; данные действующих клиентов использовать нельзя. В объявлении указан бюджет 30–250 USD.