Стажер-DevSecOps
Описание
R-Vision – разработчик надежных систем цифровизации и кибербезопасности. С 2011 года мы создаем технологии, которые помогают организациям эффективно противостоять киберугрозам, поддерживать надежность ИТ‑инфраструктуры и обеспечивать цифровую трансформацию. Мы в поиске стажера в направление безопасности разработки, который готов вместе с нашей командой участвовать в развитии процессов безопасной разработки и автоматизации security-проверок. За время стажировки ты погрузишься в процессы безопасной разработки, будешь работать с результатами автоматических сканеров и внутренних исследований, анализировать безопасность приложений и инфраструктуры, а также участвовать в автоматизации процессов. С нас — крутые менторы и реальный опыт, с тебя — желание учиться и развиваться в области разработки! Пожалуйста, обрати внимание на требования, это важно: Стажировка ориентирована на обучающихся на 3-4 курсе бакалавриата или 1-2 курс магистратуры. Рассматриваем обучающихся, которые уже обладают базовой подготовкой в направлениях связанных с бизнес-информатикой, прикладной математикой и компьютерными науками, а также смежными образовательным программами. Готовность уделять стажировке 40 часов в неделю. Стажировка рассчитана на 6 месяцев с дальнейшей возможностью роста до младшего специалиста. Задачи: Участие в развитии SSDLC и автоматизации процессов безопасной разработки; Подключение и сопровождение security-проверок в GitLab CI по готовым шаблонам; Проверка воспроизводимости найденных уязвимостей и сбор дополнительного технического контекста; Подготовка предложений по настройке правил сканирования и блокировки сборок; Исследование безопасности web-приложений, API, CLI-инструментов и межсервисного взаимодействия; Участие в триаже результатов автоматических сканеров, пентестов и внутренних исследований; Анализ Dockerfile, Kubernetes-манифестов и Helm-чартов по установленным security-чек-листам; Подготовка исправлений для небезопасных конфигураций контейнеров; Проверка зависимостей, формирование SBOM и анализ найденных в компонентах уязвимостей; Заведение задач на исправление уязвимостей, отслеживание их статуса и проверка устранения; Подготовка понятных технических отчетов и рекомендаций для разработчиков. Ожидаем от тебя: Умение читать и понимать код на JavaScript/TypeScript и Python; Практические навыки разработки на Python; Умение написать утилиту для работы с файлами, API или результатами сканирования; Базовое понимание структуры программного проекта, функций, модулей, зависимостей и интерфейсов; Знание основных менеджеров зависимостей и систем сборки используемого стека; Понимание необходимости валидации входных данных, обработки ошибок и логирования; Умение разобраться в незнакомом участке кода с помощью документации, отладчика и инструментов навигации по проекту; Понимание различий между монолитной, модульной и микросервисной архитектурой; Умение выделить основные компоненты системы, точки входа и потоки данных; Понимание понятия trust boundary; Понимание устройства CLI-инструментов и интеграций с API; Базовое понимание принципов микросервисной архитектуры; Умение добавлять в инструмент валидацию данных, обработку ошибок, таймауты и логирование; Базовое понимание OWASP Top 10 и распространенных API-уязвимостей; Понимание различий между аутентификацией и авторизацией; Базовое знание JWT и механизмов контроля доступа; Общее представление об OAuth 2.0, OIDC и RBAC; Базовые знания SQL и принципов взаимодействия приложений с базами данных; Базовые навыки работы с Git и Linux; Знание основных концепций Docker; Понимание опасности root- и privileged-контейнеров, docker.sock, hostPath и избыточных capabilities; Умение прочитать Kubernetes-манифест и Helm values. Будет плюсом: Знание Go; Умение читать простой код на Rust или C; Навыки написания модульных тестов; Практический опыт с Burp Suite, OWASP ZAP, Semgrep, CodeQL, Trivy или аналогичными инструментами; Написание собственных правил для статических анализаторов или линтеров; Опыт создания и анализа SBOM в форматах CycloneDX или SPDX; Понимание Kubernetes securityContext, RBAC, NetworkPolicy и Pod Security Standards; Знакомство с OPA/Rego, Kyverno или Gatekeeper; Понимание техник container escape и опыт их безопасного воспроизведения в лабораторной среде; Участие в bug bounty, самостоятельные security-исследования или вклад в open-source инструменты; Участие в Attack-Defense CTF, хакатонах, Hack The Box или TryHackMe; Опыт анализа безопасности AI/LLM-компонентов; Опыт проведения исследований продуктов для сертификации ФСТЭК. Мы предлагаем: Возможность работать в удаленном формате на территории РФ; Статус аккредитованной ИТ-компании со всеми преимуществами; 100% компенсацию больничного, дополнительные дни на отгул по болезни; Возможности для обучения и профессионального развития: корпоративную библиотеку, менторство, внутренние митапы по обмену опытом, практику публичных выступлений, возможность участвовать в создании контента для профессиональных сообществ; Программу корпоративных скидок и привилегий; Развитую корпоративную культуру: открытую коммуникацию, онлайн и офлайн встречи, клубы по интересам, спортивные активности и поддержку инициатив сотрудников. Несмотря на быстрый рост, мы основательно подходим к подбору специалистов, поэтому нам удалось собрать профессиональную и сплоченную команду.Присоединяйся к нам!