Специалист по тестированию на проникновение веб-приложений

Что за роль

Нужен специалист по black-box-тестированию на проникновение облачной B2B SaaS-платформы. Проверка проводится только с внешней стороны через публичный интернет: без заранее выданных учётных данных и без добавления IP-адресов в списки разрешённых. Основной фокус — уязвимости, которые могут привести к раскрытию данных или получению доступа к аккаунтам.

Что предстоит делать

• Проверить публичные поддомены, страницы входа, API и страницы сторонней авторизации.
• Провести сканирование уязвимостей и вручную проверить обнаруженные проблемы.
• Использовать методы эксплуатации, выходящие за рамки автоматических результатов сканеров.
• Подтвердить возможность эксплуатации критичных сценариев на тестовых аккаунтах или данных, не обращаясь к информации реальных клиентов.
• Подготовить подтверждения для критических и высокорисковых находок: скриншоты, примеры запросов и ответов или короткие демонстрационные видео.
• Составить краткое резюме общего уровня риска и подробный технический отчёт по каждой находке с шагами воспроизведения, оценкой воздействия и рекомендациями по устранению.
• При наличии времени провести повторную проверку после исправлений и подготовить её результаты.

Что потребуется

• Опыт проведения тестирования на проникновение веб-приложений и внешних инфраструктур.
• Навыки проверки API, облачной и сетевой безопасности, веб-безопасности.
• Умение вручную подтверждать уязвимости и безопасно демонстрировать их эксплуатацию на тестовых данных.
• Способность оценивать риски, разбирать последствия для защиты данных и готовить понятные технические отчёты.
• Знание требований комплаенса и принципов ответственного тестирования в рамках применимых законов и условий сервиса.

Что важно знать

Это проектная задача с обозначенным объёмом проверки и ожидаемыми материалами на выходе: от executive summary до технических доказательств и рекомендаций по исправлению. Все действия должны соответствовать применимым законам и условиям использования платформы; данные реальных клиентов использовать нельзя.