Application Penetration Tester

Tražimo iskusnog Application Penetration Testera koji će se pridružiti našem timu i aktivno učestvovati u unapređenju bezbednosti aplikacija i infrastrukture kroz proces whitebox penetracionog testiranja i saradnju sa razvojnim timovima tokom celog Software Development Life Cycle (SDLC).

Odgovornosti

• Izvođenje manualnih penetracionih testova nad web aplikacijama i API servisima
• Sprovođenje whitebox testiranja, uključujući detaljan code review i analizu bezbednosti izvornog koda
• Analiza i evaluacija aplikativne arhitekture sa fokusom na sigurnosne slabosti i loše dizajnerske odluke
• Aktivno učešće u Software Development Life Cycle (SDLC) kroz saradnju sa razvojnim timovima i davanje sigurnosnih smernica
• Identifikacija, eksploatacija i validacija ranjivosti, uključujući razvoj proof-of-concept (PoC) napada
• Izvođenje kompleksnih, ciljno orijentisanih testiranja uz minimalan nadzor
• Primena standarda kao što su OWASP Top 10 i OWASP ASVS (Application Security Verification Standard)
• Pisanje detaljnih tehničkih i izvršnih izveštaja, sa jasnim i primenljivim predlozima za remediaciju
• Izrada threat modela i analiza biznis logike aplikacija
• Direktan rad sa klijentima – vođenje kickoff sastanaka, prezentacija nalaza i savetovanje u vezi sa remediacijom
• Jasna komunikacija tehničkih nalaza ka tehničkoj i ne-tehničkoj publici
• Reference: yPXrWUwrFUksFqZSToXNwJYaiRlfL1MadcnP_ah9xLsuArU8wKazL0O3AIH_2KXA

Kvalifikacije

• Minimum 5 godina iskustva u penetration testingu sa fokusom na testiranju web aplikacija
• Iskustvo u whitebox testiranju, sa jakim fokusom na code review i analizu arhitekture sistema

Aktivni sertifikati:

• OSWE (Offensive Security Web Expert)
• Poznavanje programskih jezika:
• Python (Npr. Django Framework)
• Java (Npr. Spring Framework)
• Razumevanje mikroservisne infrastrukture i kompleksnih web okruženja

Poželjni uslovi

• Poželjni sertifikati:
• CWEE (Certified Web Exploitation Expert)
• CWES (Certified Web Exploitation Specialist)
• OSCP (Offensive Security Certified Professional)
• Iskustvo sa ručnim zaobilaženjem zaštita i detekcija (WAF bypass, custom validation logike i sl.)
• Iskustvo sa SAST/DAST alatima i integracijom u CI/CD pipeline
• Iskustvo u definisanju i sprovođenju threat modeling procesa
• Iskustvo u testiranju mobilnih aplikacija
• Završene osnovne ili master studije tehničkog usmerenja (ETF, RAF, ili sličnih fakulteta)
• Prednost imaju kandidati sa iskustvom u identifikaciji kompleksnih ranjivosti poput race condition-a, HTTP request smuggling/desync i napada nad biznis logikom aplikacija.

Šta nudimo

• Rad na kompleksnim i zanimljivim projektima 
• Direktan uticaj na bezbednost aplikacija još u ranim fazama razvoja
• Fleksibilno radno okruženje
• Mogućnost daljeg profesionalnog razvoja i sertifikacije