Junior/Middle Penetration Tester

Описание вакансии

Проводить тестирование на проникновение (Penetration Testing) внутренних и внешних информационных систем Банка, сетевой инфраструктуры, Web- и Mobile-приложений, API с целью выявления уязвимостей, слабых мест и потенциальных рисков информационной безопасности.

Проводить оценку уязвимостей (Vulnerability Assessment), включая ручную проверку, валидацию и оценку возможности эксплуатации выявленных уязвимостей.

Проводить тестирование безопасности инфраструктур Windows, Active Directory и Linux, включая сценарии Privilege Escalation, Credential Access и Lateral Movement.

Проводить тестирование безопасности Web-приложений и API, включая Authentication/Authorization Flaws, IDOR, Injection, SSRF, XSS, File Handling, Business Logic и другие уязвимости.

Оценивать возможности дальнейшего развития атаки с использованием выявленных уязвимостей, а также потенциальное воздействие на информационные системы и инфраструктуру Банка.

Подготавливать технические отчеты с описанием выявленных уязвимостей, подтверждающими доказательствами, оценкой рисков и воздействия, а также практическими рекомендациями по их устранению.

Проводить повторное тестирование устраненных уязвимостей (Retest), чтобы подтвердить эффективность принятых мер и фактическое устранение уязвимостей.

Взаимодействовать с заинтересованными сторонами в процессе анализа и устранения выявленных уязвимостей.

Следить за актуальными угрозами информационной безопасности, уязвимостями и техниками атак, применяя полученные знания в процессе Penetration Testing.

Участвовать в совершенствовании методологий, инструментов и процессов Penetration Testing.

Участвовать в отдельных сценариях Red Team / Adversary Emulation с целью моделирования цепочек атак и оценки эффективности возможностей Detection/Response.

Требуемое образование и навыки

Практический опыт в области Penetration Testing / Security Testing / Offensive Security либо подтвержденные практические навыки в соответствующих направлениях. Также могут рассматриваться участие в CTF, Home Lab, учебные и личные проекты, портфолио и профессиональные сертификации. Для уровня Middle желательно наличие не менее двух лет соответствующего опыта работы.

Высшее образование в области информационной безопасности, кибербезопасности, информационных технологий, компьютерных наук или смежной области либо эквивалентный профессиональный опыт. Также рассматриваются кандидаты, продолжающие обучение.

Практическое понимание процессов Penetration Testing и Vulnerability Assessment, включая выявление уязвимостей, ручную проверку, валидацию и оценку возможности эксплуатации. Допускается практический опыт, полученный в ходе обучения, лабораторных работ или личных проектов.

Хорошее знание TCP/IP, DNS, HTTP/HTTPS, TLS, VPN и основных сетевых протоколов, а также принципов сетевой сегментации и работы корпоративных сетевых инфраструктур.

Знание операционных систем Windows и Linux, а также архитектуры Active Directory и ее основных механизмов безопасности.

Знание архитектуры Web-приложений и API, основных векторов атак и уязвимостей, включая OWASP Top 10.

Практические навыки использования основных инструментов Penetration Testing, включая Burp Suite, Nmap и Kali Linux, а также знание Metasploit, BloodHound, Impacket, NetExec/CrackMapExec или аналогичных инструментов.

Общее понимание основных техник и этапов атаки, включая Privilege Escalation, Credential Access, Lateral Movement, Persistence и другие соответствующие техники.

Общее знание основных методологий и фреймворков Penetration Testing и Offensive Security, включая OWASP Web Security Testing Guide (WSTG), PTES, MITRE ATT&CK и NIST SP 800-115.

Базовое знание как минимум одного из следующих языков: Python, PowerShell или Bash, а также способность понимать, изменять и создавать простые скрипты.

Способность четко документировать и представлять выявленные уязвимости, возможности их эксплуатации, потенциальное воздействие и связанные с ними риски.

Аналитическое мышление, творческий и нестандартный подход к решению задач, способность к самостоятельному обучению и постоянному развитию профессиональных навыков.

Способность работать самостоятельно и в команде, а также эффективно взаимодействовать с различными техническими командами.

Высокий уровень профессиональной этики, ответственность и строгое соблюдение требований конфиденциальности.

Знание английского языка на уровне, достаточном для чтения технической документации, исследований в области безопасности, Vulnerability Advisory и других профессиональных материалов.

Будет преимуществом

Опыт участия в Red Team / Adversary Emulation учениях или моделировании цепочек атак.

Опыт углубленного тестирования безопасности Active Directory и анализа Attack Path.

Опыт в дополнительных направлениях, таких как Mobile Application Security Testing, Container/Cloud Security или другие смежные области.

Опыт тестирования безопасности информационных систем и инфраструктуры банковских или финансовых организаций.

Наличие профессиональных сертификаций, таких как eJPT, PJPT, PNPT, CPTS, OSCP/OSCP+, CRTP/CRTO, eWPT/eWPTX или эквивалентных.

Участие в программах Bug Bounty, а также практическое обучение и развитие навыков на специализированных платформах в области информационной безопасности, таких как Hack The Box, TryHackMe, PortSwigger Web Security Academy, Cisco Networking Academy, OffSec Proving Grounds, PentesterLab или аналогичных платформах.

Что мы ожидаем от кандидата

Практический интерес к направлениям Offensive Security и Penetration Testing, способность выявлять и проверять реальные уязвимости, оценивать связанные с ними риски, а также готовность постоянно развивать технические знания и практические навыки.

Основной акцент в данной должности сделан на Penetration Testing, а направление Red Team / Adversary Emulation рассматривается как дополнительное и будет развиваться постепенно.

Сроки приема заявок

Начало приема заявок: 2 сентября 2026 года

Окончание приема заявок: 15 октября 2026 года