Penetration Tester (Ташкент)

Компания "Octobank"

Мы ищем опытного Penetration Tester для проведения наступательного тестирования безопасности наших финтех-сервисов и бизнес-приложений. В этой роли вы будете отвечать за выявление уязвимостей в инфраструктуре, веб и мобильных приложениях, а также в бизнес-логике платежных и финансовых процессов до того, как их найдут злоумышленники. Помимо технической работы, вы будете развивать зрелые процессы offensive-тестирования внутри компании. Ваша работа критически важна для защиты данных и средств клиентов, а также для обеспечения надежности и соответствия наших сервисов требованиям регуляторов. Мы ищем не «сканер уязвимостей», а вовлеченного специалиста, который проактивно ищет слабые места, доводит находки до устранения и помогает выстраивать культуру безопасности в командах.

Основные задачи:

• Проведение внешнего и внутреннего тестирования на проникновение инфраструктуры (сетевой периметр, Active Directory, сегментация, повышение привилегий, латеральное перемещение).
• Тестирование на проникновение веб-приложений и API финтех-сервисов (аутентификация, авторизация, бизнес-логика, обработка платежей и финансовых операций).
• Тестирование на проникновение мобильных приложений (Android и iOS): анализ клиента, хранение данных, защита каналов связи, обход root/jailbreak детекта, перехват и модификация трафика.
• Анализ безопасности бизнес-логики финансовых процессов: платежи, переводы, выставление счетов, лимиты, антифрод-механизмы, интеграции с внешними платежными провайдерами.
• Подготовка качественной технической документации: отчеты по результатам тестирований с воспроизведением, оценкой рисков (CVSS) и практическими рекомендациями по устранению.
• Ведение и развитие организационной документации: методологии тестирования, чек-листы, регламенты проведения работ.
• Построение и улучшение процессов offensive security: планирование тестирований, приоритизация, трекинг устранения уязвимостей и проведение retest.
• Взаимодействие с командами разработки, DevOps и инфраструктуры для корректного воспроизведения, валидации и устранения найденных уязвимостей.
• Участие в моделировании угроз и оценке атакующих сценариев для новых функций сервисов и платформ.
• Проактивное предложение улучшений в области безопасности и участие в развитии внутренней expertise команды.

Ожидания от кандидата:

• Опыт работы в области тестирования на проникновение не менее 4-5 лет.
• Практический опыт проведения пентестов инфраструктуры: сетевая разведка, эксплуатация сервисов, атаки на Active Directory (Kerberoasting, AS-REP, делегирование, NTLM relay), сетевые атаки(MITM, poisoning, replay), повышение привилегий и латеральное перемещение.
• Уверенный опыт пентеста веб приложений и API: OWASP Top 10, OWASP API Security Top 10, эксплуатация XSS, SSRF, IDOR, injection уязвимостей, ошибок аутентификации и авторизации, уязвимостей бизнес-логики.
• Опыт тестирования мобильных приложений по методологии OWASP MASVS / MASTG (анализ Android и iOS, инструментирование, обход защитных механизмов).
• Понимание угроз, специфичных для финтех- и платежных сервисов (мошенничество, манипуляции с транзакциями, обход лимитов и антифрода).
• Владение основным инструментарием: Nmap, Burp Suite, ffuf, Nuclei, Metasploit, Impacket, BloodHound, Responder, mitmproxy, Frida, Objection, MobSF.
• Знание методологий и фреймворков: PTES, OWASP WSTG/MASTG, MITRE ATT&CK, понимание этапов kill chain.
• Навыки скриптинга для автоматизации задач и написания PoC (Python, Bash, PowerShell).
• Способность читать и анализировать код для поиска уязвимостей на различных языках программирования.
• Понимание основ криптографии, механизмов авторизации и аутентификации (TLS/SSL, PKI, OAuth2, JWT, SAML 2.0, OpenID Connect).
• Опыт работы с контейнерами (docker, podman) и понимание основ их безопасности.
• Умение четко и структурированно излагать технические находки в письменном виде.
• Умение работать в команде, вовлеченность в результат и инициативность — готовность не ограничиваться формальным скоупом, а доводить находки до реального устранения.
• Владение техническим английским языком.

Что будет плюсом:

• Опыт работы в финтех-компаниях, банках или платежных сервисах.
• Понимание регуляторных требований и стандартов финансовой отрасли (PCI DSS, ISO 27001, требования локальных регуляторов).
• Опыт проведения Red Team операций и работы с C2-фреймворками (Cobalt Strike, Sliver, Mythic, Havoc).
• Опыт пентеста облачных сред (AWS, GCP, Azure) и Kubernetes.
• Опыт обхода EDR/AV и техник evasion.
• Опыт reverse engineering и анализа бинарных файлов.
• Опыт участия в Bug Bounty программах (как со стороны исследователя, так и со стороны организатора).
• Опыт проведения внутренних тренингов и обучения команд по offensive security.
• Наличие профильных сертификатов: OSCP, OSEP, OSWE, OSWA, OSED, eMAPT, eCPPT, CRTO, GPEN/GXPN, BSCP.
• Опыт построения процессов тестирования на проникновение.