Специалист по тестированию на проникновение веб-сервисов

Что за роль

Нужен специалист для black-box-тестирования на проникновение облачной B2B SaaS-платформы. Проверка проводится извне, через публичный интернет: без заранее выданных учётных данных и без добавления IP-адресов в белый список. Основной фокус — выявление серьёзных уязвимостей, которые могут привести к утечке данных или несанкционированному доступу к аккаунтам.

Что предстоит делать

• Проверить публичные поддомены платформы, страницы входа, API и сторонние страницы авторизации.
• Проводить ручное тестирование и проверять находки автоматизированных сканеров, используя методы, выходящие за рамки стандартного сканирования уязвимостей.
• Исследовать потенциальные пути к доступу к аккаунтам и данным, подтверждая практическую эксплуатируемость найденных уязвимостей.
• Для демонстрации критических сценариев использовать только тестовые аккаунты и тестовые данные; не обращаться к реальной информации клиентов.
• Подготовить краткое резюме для руководства с общей оценкой уровня риска.
• Составить технический отчёт по каждому обнаружению: шаги воспроизведения, анализ воздействия и рекомендации по устранению.
• Передать подтверждающие материалы по критическим и высокосерьёзным уязвимостям — скриншоты, запросы и ответы или короткие демонстрационные видео.
• При наличии времени после исправлений провести повторную проверку и подготовить её итоги.

Что потребуется

• Опыт проведения тестирования на проникновение, включая black-box-проверки веб-сервисов.
• Навыки тестирования API, веб-безопасности и сетевой безопасности.
• Знание облачной безопасности, защиты данных и оценки рисков.
• Умение вручную проверять уязвимости и документировать воспроизводимые сценарии эксплуатации.
• Понимание требований комплаенса и принципов реагирования на инциденты.

Что важно знать

Это проектная проверка с чётко очерченным внешним периметром и набором ожидаемых результатов: оценка рисков, технические описания находок и доказательства для наиболее серьёзных проблем. Тестирование должно проводиться с соблюдением применимых законов и условий использования платформы; работа с реальными данными клиентов исключена.